1/7 Expediente Nº: E/03782/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EDP ENERGIA, S.A.U., en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16/05/2017, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que formula denuncia contra la entidad EDP ENERGIA, S.A.U. (en lo sucesivo EDP ENERGIA) por recabar de los interesados el consentimiento para la cesión de sus datos personales a terceros sin ofrecer, en ese momento, la posibilidad de oponerse a la misma. Según el denunciante, su denuncia se refiere a hechos que tuvieron lugar a “principios de 2017”, cuando la citada entidad modificó las condiciones legales de su web, exigiendo a los clientes, como requisito para poder continuar utilizando el servicio online, que prestaran el consentimiento para sus datos sean tratados y comunicados para campañas comerciales e informativas. Advierte que formuló una queja ante EDP ENERGIA y que le informaron telefónicamente que debía aceptar para acceder a la web y, posteriormente, oponerse al tratamiento de sus datos con fines comerciales a través de su perfil. Con su denuncia aporta, entre otra, la siguiente documentación: 1. Captura de pantalla de la url http://www.edpenergia.es/edponline/condiciones-legales. Mediante esta url se acede a un documento denominado “Protección de datos de carácter personal”, que incluye el siguiente texto: “Para acceder correctamente al área de cliente antes debes aceptar las condiciones de tratamiento de datos”. “[…] 2.- Derechos de acceso, rectificación, oposición y cancelación El titular de los datos puede ejercitar sus derechos… comunicándolo por escrito a EDP, a la siguiente dirección: Departamento Seguridad de la Información, (C/...1). Asimismo puede ejercitar dichos derechos enviando un correo electrónico con sus datos personales a cclopd@edpenergia.es... También puede ejercitar sus derechos a través de la página web www.edpenergia.es en el Área de cliente… 3.- Campañas comerciales e informativas El titular de los datos consiente en que sus datos sean tratados y comunicados a sociedades pertenecientes o participadas por el Grupo EDP para la realización de campañas comerciales e informativas de los productos y servicios relacionados con el suministro o consumo de energía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 eléctrica y/o gas, con servicios complementarios de revisión y/o asistencia técnica y/o consumos promocionales y/o encuestas de calidad. Dichas campañas podrán realizarse por medios electrónicos. A los efectos anteriores, sus datos podrán ser comunicados a las siguientes sociedades: EDP ENERGÍA SAU y/o EDP COMERCIALIZADORA SA y/o EDP COMERCIALIZADORA DE ÚLTIMO RECURSO SA Si no consiente dicha comunicación puede comunicarlo por escrito a EDP, a la siguiente dirección: Departamento Seguridad de la Información, (C/...1). […]”. . Captura de pantalla de la url http://www.edpenergia.es/XXXX... Mediante esta url se acede a un formulario de recogida de datos de carácter personal que incluye la siguiente leyenda informativa: “[…] 2.- Derechos de acceso, rectificación, oposición y cancelación El titular de los datos puede ejercitar sus derechos… comunicándolo por escrito a EDP, a la siguiente dirección: Departamento Seguridad de la Información, (C/...1). Asimismo puede ejercitar dichos derechos enviando un correo electrónico con sus datos personales a cclopd@edpenergia.es... También puede ejercitar sus derechos a través de la página web www.edpenergia.es en el Área de cliente… 3.- Campañas comerciales e informativas El titular de los datos consiente en que sus datos sean tratados y comunicados a sociedades pertenecientes o participadas por el Grupo EDP para la realización de campañas comerciales e informativas de los productos y servicios relacionados con el suministro o consumo de energía eléctrica y/o gas, con servicios complementarios de revisión y/o asistencia técnica y/o consumos promocionales y/o encuestas de calidad. Dichas campañas podrán realizarse por medios electrónicos. A los efectos anteriores, sus datos podrán ser comunicados a las siguientes sociedades: EDP ENERGÍA SAU y/o EDP COMERCIALIZADORA SA y/o EDP COMERCIALIZADORA DE ÚLTIMO RECURSO SA y/o EDP SOLUCIONES COMERCIALES SA [ ] Si no consiente marque esta casilla. […]”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. EDP ENERGIA aportó la información y documentación siguiente:
- a)Impresión de pantalla referida a la fecha en la que el denunciante realizó una reclamación, que coincide con la aportada por el mismo. EDP manifiesta “[…] El alta en edponline nunca implica un cambio respecto a la situación previa en la que se encuentre el cliente en cuanto a sus derechos ARCO con esta sociedad. Si el cliente ejerció el derecho de oposición o no prestó su consentimiento para recibir campañas comerciales con anterioridad al alta en edponline se mantendrá sin variación con posterioridad al alta en este servicio, ya que el alta y el acceso a edponline no contemplan técnicamente otra posibilidad.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7
- b)Impresión de pantalla correspondiente a la url http://www.edpenergia.es/edponline/condiciones-legales. En la misma no aparece ningún punto referente a campañas comerciales e informativas en el que se solicite el consentimiento para la cesión o tratamiento de datos por parte de terceros.
- c)Grabación de la reclamación interpuesta por el denunciante el día 15/03/2017. En el minuto 1:17 de esta grabación, la operadora de EDP ENERGIA afirma lo siguiente: “[…] Para poder acceder al área de cliente tiene que aceptar esto y después tiene que entrar en la ley de protección de datos en la parte de abajo para decir que no consiente que estos datos sean cedidos […]”.
- d)Grabación de una llamada por parte de EDP ENERGIA al denunciante, del día 29/03/2017, en la que la operadora de la entidad afirma, en el minuto 1:15, lo siguiente: “[…] Para poder entrar previamente tiene que cederlos, es así el procedimiento. Y una vez dentro ya puede ejercer otra vez su derecho de denegación […]”. 2. Por otra parte, en su escrito de respuesta, EDP ENERGIA manifestó lo siguiente:
- a)La página http://www.edpenergia.es/edponline/condiciones-legales, con el texto aportado por el denunciante, ha estado vigente desde el 11/11/2015 hasta el 20/07/2017. Dichas condiciones fueron aceptadas por 1.919 clientes. Las nuevas condiciones han sido aceptadas por 52 clientes.
- b)Que no se han cedido datos a ninguna sociedad: “[…] esta Sociedad no se ha servido en ningún momento de ese consentimiento otorgado por esa vía ni para realizar comunicaciones comerciales, ni para realizar comunicaciones de datos a las Sociedades expresamente mencionadas en las condiciones legales, y ello en tanto que el alta y/o acceso a “edponline” no contempla técnicamente la posibilidad de modificar la negativa al tratamiento de datos previamente otorgada”.
- c)Que el denunciante puede acceder a “edponline” en el que se presentan las nuevas condiciones en las que no aparece ningún punto referente a campañas comerciales e informativas en el que se solicite el consentimiento para la cesión o tratamiento de datos por parte de terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Se denuncia a la entidad EDP ENERGIA por la recogida de datos personales para posibilitar el acceso al Área de Clientes habilitada en su web, sin facilitar a los usuarios un mecanismo para oponerse a la cesión de sus datos personales a terceras empresas, con fines promocionales, a la que se refiere la cláusula informativa insertada en el mismo. El artículo 5 de la LOPD, establece en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar del interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el citado artículo 5, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En relación con la cesión de datos a terceros, el artículo 11.3 de la misma Ley Orgánica establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. En cuanto a la manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. III El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad EDP ENERGIA facilita a clientes y usuarios de su web mediante la Política de Privacidad insertada en la misma, en el momento en que se formuló la denuncia. En este caso, se ha podido comprobar que la entidad EDP ENERGIA, según lo indicado en su Política de Privacidad vigente desde el 11/11/2015 hasta el 20/07/2017, solicitaba a sus clientes el consentimiento para el tratamiento de sus datos personales en campañas comerciales e informativas de sus productos y servicios relacionados con el consumo y suministro de energía o gas, servicios complementarios y asistencia técnica. Asimismo, se informaba a los clientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sobre la posibilidad de ceder tales datos a otras entidades que se citan en la Política de Privacidad, con la misma finalidad. En estos casos, cuando la entidad responsable recaba el consentimiento de los interesados para la utilización o cesión de sus datos con finalidades distintas a las que determinaron la recogida de los mismos, como la finalidad promocional, la normativa reseñada exige que se ofrezca al mismo la posibilidad de mostrar su negativa a dicho tratamiento o cesión de datos personales. En base a ello, se denuncia que EDP ENERGIA, para que el cliente pudiera acceder al Área de Clientes habilitada en su web, exigía al cliente la aceptación de la Política de Privacidad, que conllevaba la aceptación de los mencionados tratamientos y las señaladas cesiones de datos, ofreciendo al cliente la posibilidad de mostrar su negativa por carta, pero no de modo previo. Sin embargo, de la propia documentación aportada por el denunciante, que consta reseñada en al Antecedente Primero, en la que se detalla la información ofrecida por EDP ENERGIA, se constata que se informaba a los clientes sobre la posibilidad de oponerse, no sólo mediante carta dirigida a la dirección postal que se indica, sino también mediante correo electrónico dirigido a la dirección cclopd@edpenergia.es, habilitada específicamente para ello. Este mecanismo, consistente en ofrecer una dirección de correo electrónico, en los casos, como el presente, en el que los datos se recaban a través de Internet, constituye un procedimiento válido para que el afectado pudiera hacer esta manifestación en el momento mismo de la recogida de datos personales en los casos, por cuanto dicho mecanismo permite al usuario manifestar su oposición en el mismo momento de la recogida de los datos utilizando la dirección de correo electrónico que se facilita. El cliente se encuentra en el mismo entorno (internet) en el que está operando cuando pretende acreditarse en el Área de Clientes habilitada en la web del responsable. Incluso, en este caso, resulta que uno de los formularios que aporta el denunciante ofrecía al mismo la posibilidad de marcar una casilla con la indicación “[ ] Si no consiente marque esta casilla”, cumpliendo lo establecido en el citado artículo 15 del Reglamento de desarrollo de la LOPD. Por otra parte, se ha comprobado que se informa sobre los sectores de actividad a los que se podrá referirse la publicidad, de conformidad con lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD. En definitiva, se ofrece a los usuarios de la web mecanismos válidos, que pueden emplearse en el momento de la recogida de los datos, para que el afectado pueda mostrar su negativa a la utilización de sus datos personales con fines publicitarios, se informa sobre los sectores de actividad a los que podrá referirse la publicidad y sobre los destinatarios de la información. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EDP ENERGIA, S.A.U. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es