E-04502-2014

1/8 Expediente Nº: E/04502/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante la entidad SOCIEDAD ECOLOGICA PARA EL RECICLADO DE LOS ENVASES DE VIDRIDO (ECOVIDRIO) en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de mayo de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) frente a la Entidad SOCIEDAD ECOLOGICA PARA EL RECICLADO DE LOS ENVASES DE VIDRIDO (ECOVIDRIO) en lo sucesivo (la denunciado/

1. a)en el que denuncia de manera sucinta lo siguiente: “…la campaña promocional de la Entidad ECOVIDRIO por estar vulnerando la normativa de aplicación en materia de protección de datos” (folio nº 1). Aporta un CD que contiene un video de presentación dela campaña, difundido en www.youtube.es y copia impresa de las páginas obtenidas de la página de internet enla que se desarrolla la campaña promocional de ECOVIDRIO en la dirección www.aversiteenteras.com SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 5 de febrero de 2015, se ha realizado una inspección en la SOCIEDAD ECOLOGICA PARA EL RECICLADO DE LOS ENVASES DE VIDRIDO (ECOVIDRIO), en relación con los hechos denunciados. En la Inspección se ha puesto de manifiesto que: 1. ECOVIDRIO es una entidad sin ánimo de lucro cuya actividad es el fomento del reciclaje de vidrio. 2. Desde el propio Ministerio de Agricultura, Alimentación y Medio Ambiente, con objeto de concienciar a los ciudadanos, les solicitan que realicen algún tipo de acción, en particular en dos fechas señaladas: el día mundial del medio ambiente y el día mundial del reciclaje. 3. En el mes de mayo de 2014, con motivo del día mundial del medio ambiente, se realizó una campaña promocional, en el mes de mayo, y a través de la página web www.aversiteenteras.com, creada para ese fin, se ofrecía la posibilidad de regalar una bolsa para almacenar y transportar el vidrio a la persona elegida por el participante. 4. Para participar en la citada campaña, había que facilitar los datos personales del participante: nombre y apellidos, dirección de correo electrónico y los de la persona elegida: nombre y apellidos, dirección postal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 5. Antes de facilitar los datos, el usuario debía marcar las opciones: “Soy mayor de 14 años” y “He leído y acepto la política de privacidad”. 6. En la página web se incluía una opción para acceder al apartado “Bases legales y Política de privacidad”, donde se facilitaba la siguiente información. “La información proporcionada por los participantes será tratada por ECOVIDRIO de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo. Los participantes son informados de que los datos facilitados en la promoción serán incluidos en un fichero cuyo titular y responsable es ECOVIDRIO, con domicilio social en la (C/.........1) Madrid, con la finalidad de gestionar exclusivamente la entrega del envío del modelo de la bolsa elegido. Para el ejercicio de los derechos de acceso, oposición y rectificación y cancelación, los participantes podrán remitir un escrito a la siguiente dirección: ECOVIDRIO. (C/.........1) Madrid, adjuntando copia de un documento acreditativo de su identidad. Tal y como se ha indicado previamente, ECOVIDRIO comunica al participante que para hacer llegar al destinatario el modelo de bolsa elegido será necesario que el participante proporcione sus datos personales. La no cumplimentación de dichos datos implicaría la imposibilidad de que ECOVIDRIO preste el servicio. El participante es informado de que sus datos personales serán comunicados a la persona destinataria del envío, a los efectos de informar al citado destinatario de la identidad de la persona que ha facilitado sus datos personales para gestionar la entrega de la bolsa elegida”. 7. Junto con la bolsa que se entregaba en el domicilio aportado por el participante se incluía una tarjeta en la que además del mensaje elegido por el participante, constaba la siguiente información: “Le informamos que sus datos han sido facilitados por (nombre y apellidos del cedente) a la SOCIEDAD ECOLOGICA PARA EL RECICLADO DE LOS ENVASES DE VIDRIO (ECOVIDRIO) y están incluidos en un fichero de ECOVIDRIO, con la finalidad de gestionar la entrega de este envío. Podrá ejercitar sus derechos de acceso, rectificación, cancelación u oposición remitiendo un escrito a (C/.........1)Madrid, adjuntando copia de un documento acreditativo de su identidad”. 8. En la inspección se ha recabado una copia de la tarjeta que se entregaba junto con la bolsa así como copia de los textos legales que se incluyeron en la web y en el tarjetón. 9. En la inspección se solicitó el acceso al fichero en el que se trataron los datos de los participantes en la citada campaña y de las personas elegidas para entregarles el regalo, ante lo que los representantes de ECOVIDRIO informaron de que el fichero se destruyó una vez finalizada la campaña para la que se recabaron los datos y que únicamente se utilizaron para el envío de las bolsas de regalo, tal y como se informaba en la página web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Se ha verificado que tanto la información que contenía el “Aviso Legal” como la “Política de Privacidad” que se facilitaba en la página web www.aversiteenteras.com aportadas por el denunciante, coinciden con las obtenidas en las inspección. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a analizar la denuncia de fecha 16/05/14 en la que el epigrafiado pone en conocimiento de esta Agencia los siguientes “hechos” en orden a su adecuación a la normativa vigente en materia de protección de Datos: “…la campaña promocional de la Entidad ECOVIDRIO por estar vulnerando la normativa de aplicación en materia de protección de datos” (folio nº 1). En apoyo de su pretensión adjunta diversas capturas de pantallas obtenidas de la promoción “Aversiteenteras.com” difundida por la Entidad denunciada—ECOVIDRIO —consistente en el regalo de una bolsa promocional con la finalidad de almacenar y transportar envases de vidrio, para lo cual se requerían los datos de carácter personal de los interesados. El deber de información a las personas de las cuales se vaya a obtener cualquier tipo de datos personales, previo al tratamiento de sus datos de carácter personal, es uno de los principios fundamentales sobre los que se asienta la LOPD y así viene encuadrado dentro de su Título II. Examinados los “hechos” objeto de denuncia la cuestión se centra en determinar si se ha infringido el contenido del art. 5 LOPD “Derecho de información en la recogida de datos”. El art. 5 LOPD—LO 15/99—dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior (…)”. Examinada la Política de privacidad de la Entidad denunciada—Ecovidrio—en concreto encontramos que la Base legal nº 7 Protección de Datos, contiene la información requerida en la normativa vigente: “Los participantes son informados de que los datos facilitados en la promoción serán incluidos en un fichero cuyo titular y responsable es Ecovidrio, con domicilio social en la (C/.........1) Madrid, con la finalidad de gestionar exclusivamente la entrega del envío del modelo de bolsa elegido. Para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación los participantes podrán remitir un escrito a la siguiente dirección: Ecovidrio (C/.........1) Madrid, adjuntando copia de un documento que acredite su identidad”. Examinados los datos que se requieren a los participantes (nombre, apellidos, dirección, Mail) entendemos que los mismos son adecuados a los fines que persigue la campaña promocional de la Entidad denunciada: regalo de una bolsa promocional para la recogida y transporte de vidrio usado. Conviene tener en cuenta en la valoración del caso, el contexto en el que se enmarca y la afectación de otros derechos en conflicto, concienciación a los ciudadanos de la tutela del Medio ambiente (art. 45 CE), motivo por el que se organizó puntualmente la campaña ofreciendo la posibilidad de regalar una bolsa para almacenar y transportar vidrio usado; sin que en este caso los datos de los titulares hayan sido usados para fines distintos de los establecidos en una campaña “destinada a la conservación de un bien colectivo como es el Medio ambiente”. Igualmente, los terceros destinatarios de la bolsa promocional (con carácter general familiares o allegados del participante en la promoción) son informados expresamente en el momento de la recepción del producto, “de la identidad de la persona que ha facilitado sus datos para gestionar la entrega de la bolsa elegida”, teniendo asimismo, la posibilidad de ejercitar sus derechos en el marco de la LOPD (acceso, rectificación, cancelación y oposición) facilitando en el momento de la entrega de la bolsa toda la información de forma clara y concisa al respecto. Por tanto, nos encontramos ante un supuesto similar al consistente en un regalo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 “sorpresa” por parte de familiares o miembros de la unidad familiar, que están en disposición de datos (vgr. domicilio, número de móvil) del titular de los mismos; disponiendo de éstos de buena fe dentro de un contexto tolerado por el marco normativo. Con relación a lo que parece la otra cuestión de controversia, que se centra en la edad de los participantes en la campaña de obtención de una bolsa de almacenaje y transporte de vidrio, que la campaña permite a los mayores de 14 años. Cabe indicar que la mayoría de edad es una cuestión civil, en concreto el art. 162.1 CC (Código Civil) exceptúa de la representación legal del titular de la patria potestad a “los actos referidos a derechos de la personalidad u otros que el hijo, de acuerdo con las leyes y con sus condiciones de madurez, pueda realizar por sí mismo”. Por tanto, en el caso de los mayores de 14 años, tienen condiciones suficientes de madurez para prestar su consentimiento al tratamiento informado de sus datos de carácter personal, toda vez que nuestro ordenamiento jurídico viene, en diversos casos, a reconocer a los mayores de catorce años la suficiente capacidad de discernimiento y madurez para adoptar por sí solos determinados actos de la vida civil. Baste a estos efectos recordar los supuestos de adquisición de la nacionalidad española por ejercicio del derecho de opción o por residencia, que se efectuará por el mayor de catorce años, asistido de su representante legal, o la capacidad para testar (con la única excepción del testamento ológrafo) prevista en el artículo 662.1 del Código Civil para los mayores de catorce años. A mayor abundamiento, la Entidad denunciada—Ecovidrio-- advierte claramente en el marco de su Política de Privacidad en materia de protección de Datos que: “La no cumplimentación de dichos datos implicará la imposibilidad de que Ecovidrio preste el servicio”; por lo que adopta medidas necesarias para cerciorarse de que se cumplen con los requisitos exigidos en la promoción ofertada. Igualmente, la persona que quiera obtener la bolsa promocional antes de facilitar los datos debía marcar la opción “Soy mayor de ** años” y “He leído y acepto la política de privacidad”. Por último, se ha constatado por el Servicio de Inspección de la Subdirección General de Inspección de Datos en el Acta de Inspección E/04502/2014 que el fichero en el que se inscribieron los datos fue eliminado una vez finalizada la campaña promocional para el que fue creado, lo que imposibilita cualquier tratamiento de los datos de los titulares de los mismos (mayores o menores de edad). La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). Por tanto, una vez analizadas las alegaciones de las partes y examinadas las pruebas presentadas, cabe concluir que la campaña promocional de la Entidad denunciada— Ecovidrio—cumple con los parámetros marcados por la normativa vigente en materia de protección de Datos, no observándose la comisión de infracción alguna de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad SOCIEDAD ECOLOGICA PARA EL RECICLADO DE LOS ENVASES DE VIDRIDO (ECOVIDRIO) y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es