E-04592-2013

1/7 Expediente Nº: E/04592/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ÁGORA CONTROL Y GESTIÓN EMPRESARIAL S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 10 de julio de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que ha recibido cuatro correos electrónicos comerciales en los que en el campo asunto aparece su nombre junto a su DNI: “***NOMBRE.1***DNI.1” con publicidad sobre diversos productos. Aporta copia de los cuatro correos recibidos junto con sus cabeceras con el siguiente detalle: • Email de fecha 3/7/2013, 14:47, en el que figura como remitente “Jazztel (ofertas@.....jazztel.com)” como destinatario .............@yahoo.es , como asunto “***NOMBRE.1-***DNI.1 ADSL + Móvil a precio de promoción para siempre”. El correo ofrece publicidad de JAZZTEL y en el pie del mensaje incluye la leyenda “Para darse de baja de la base de datos, haga clic aquí Agora Control y Gestión Empresarial, S.L. Distribuidor Oficial de Jazztel”. • Email de fecha 4/7/2013, 16:20, en el que figura como remitente “Masmovil (masmovil@tumejoroferta.es)” como destinatario .............@yahoo.es , como asunto “***NOMBRE.1-***DNI.1 llamadas ilimitadas”. El correo ofrece publicidad de MÁSMÓVIL y en el pie del mensaje incluye la leyenda “Los interesados podrán ejercer sus derechos dirigiéndose, en los términos legales previstos, al Responsable del fichero: Agora Control y Gestión Empresarial, S.L. (C/.................1)Madrid”. • Email de fecha 4/7/2013, 9:06, en el que figura como remitente “Movistar (movistar@tumejoroferta.es)” como destinatario .............@yahoo.es , como asunto “***NOMBRE.1-***DNI.1 únete a la mejor oferta combinada”. El correo ofrece publicidad de MOVISTAR y en el pie del mensaje incluye la leyenda “Los interesados podrán ejercer sus derechos dirigiéndose, en los términos legales previstos, al Responsable del fichero: Agora Control y Gestión Empresarial, S.L. (C/.................1)Madrid También pueden contactar con nosotros a través ”. • Email de fecha 3/7/2013, 22:08, en el que figura como remitente “Seguros Nuez (segurosnuez@..............)” como destinatario .............@yahoo.es , como asunto “***NOMBRE.1-***DNI.1 te regalamos dos seguros”. El correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 ofrece publicidad de SEGUROS NUEZ y en el pie del mensaje incluye la leyenda “Para darse de baja en la base de datos, haga clic aquí”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 10/12/2013 se realiza una inspección a la entidad AGORA en la que se averigua lo siguiente: 1.

1. AGORA se dedica fundamentalmente a la distribución de productos de operadores de telecomunicaciones y como actividad secundaria al “e-marketing” o envío de publicidad comercial de terceros a través de comunicaciones electrónicas como el correo electrónico. También son distribuidores de JAZZTEL. 1.
2. Como distribuidores de JAZZTEL disponen de la página web www.mijazztel.com donde ofrecen los servicios comercializados por el citado operador. En dicha página existe un formulario donde las personas interesadas pueden facilitan sus datos de contacto (nombre, apellidos, teléfono y correo electrónico) que utiliza AGORA para un contacto telefónico posterior y ofrecer los servicios de JAZZTEL. 1.
3. La aportación de los datos personales del solicitante de información en la página web www.mijazztel.com conlleva la aceptación de la política de privacidad asociada a dicha página y que se ha adjuntado al acta de inspección. 1.
4. Con base en dicha política de privacidad aceptada por el solicitante, AGORA entiende que dispone del consentimiento de los solicitantes para la remisión de publicidad de terceros, por lo que los datos recabados son incorporados a la base de datos de AGORA para la remisión de otras ofertas comerciales como han sido las realizadas con MASMOVIL, MOVISTAR, o SEGUROS NUEZ. 1.
5. AGORA reconoce haber realizado los envíos aportados por el denunciante en las presentes actuaciones ya mencionados anteriormente. 1.
6. Durante la inspección se ha consultado la base de datos de clientes de AGORA constatándose la existencia de datos personales de D. A.A.A. con dirección de correo electrónico .............@yahoo.es en la mencionada base de datos, figurando en ella en situación de activo y por lo tanto candidato a recibir futuros envíos. 1.
7. A tenor de la información que figura en la base datos, los representantes de AGORA manifiestan que los datos de D. A.A.A. fueron recabados a través de la página web www.mijazztel.com en fecha de 5/3/2013 donde fueron aportados por el propio interesado. 1.
8. En el fichero que recoge el histórico de contactos entre AGORA y A.A.A. constan contactos telefónicos posteriores a la recogida de datos donde se informó a A.A.A. acerca de producto ADSL de JAZZTEL ya que éste manifestó su deseo de contratarlo. Para dicha contratación A.A.A. facilitó sus datos de DNI, domicilio y código de cuenta bancaria. Consta también en dicho histórico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de contactos que finalmente y tras diversas llamadas no se llevó a buen fin la contratación de ningún servicio con JAZZTEL. 1.
9. Respecto a la inclusión del DNI junto con el nombre en el campo asunto de cada correo remitido en las diferentes campañas (“***NOMBRE.1-***DNI.1”). Los representantes de AGORA manifiestan que ello ha sido debido a un error puntual ocasionado al incluir el dato de DNI dentro del campo de nombre. Situación que han detectado en algunos casos puntuales y que han sido corregidos en cuanto han tenido conocimiento de ello. En este sentido hay que señalar que no consta en las presentes actuaciones que dicho dato haya sido revelado a terceros ya que los envíos publicitarios han sido enviados únicamente al propio afectado. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el párrafo segundo del artículo 43.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de comercio electrónico (en lo sucesivo LSSI). II La LSSI prohíbe las comunicaciones comerciales no solicitadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “f) Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. III La LSSI dedica su Título III a la regulación de las citadas “Comunicaciones comerciales por vía electrónica”, disponiéndose en el artículo 21 de la citada norma, en la redacción dada por el Real Decreto-Ley 13/2012, de 30 de marzo, lo siguiente: “
10. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
11. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Por tanto, el envío de mensajes publicitarios o promocionales por correo electrónico u otro medio de comunicación electrónica, incluido el envío de mensajes SMS a terminales de telefonía móvil, debe haberse solicitado o autorizado expresamente por los destinatarios de los mismos, salvo que exista una relación contractual previa en los términos recogidos en dicho precepto. IV En el supuesto que se examina el denunciante declara haber recibido cuatro correos electrónicos publicitarios sobre diversos productos en los que en el campo “asunto” aparece su nombre junto con su DNI. Tras las actuaciones previas de investigación practicadas por esta Agencia se ha podido comprobar que el envío de los correos publicitarios responde a la entidad ÁGORA CONTROL Y GESTIÓN EMPRESARIAL S.L., distribuidor oficial de Jazztel. AGORA se dedica fundamentalmente a la distribución de productos de operadores de telecomunicaciones y como actividad secundaria al “e-marketing” o envío de publicidad comercial de terceros a través de comunicaciones electrónicas como el correo electrónico. También son distribuidores de JAZZTEL. Como distribuidores de JAZZTEL disponen de la página web www.mijazztel.com donde ofrecen los servicios comercializados por el citado operador. En dicha página existe un formulario donde las personas interesadas pueden facilitan sus datos de contacto (nombre, apellidos, teléfono y correo electrónico) que utiliza AGORA para un contacto telefónico posterior y ofrecer los servicios de JAZZTEL, lo que conlleva la aceptación de la política de privacidad asociada a dicha página y a que los datos recabados sean incorporados a su base de datos para la remisión de otras ofertas comerciales, como han sido las realizadas con MASMOVIL, MOVISTAR, o SEGUROS NUEZ. En el presente caso, el denunciante aportó sus datos personales en a través del formulario incluido en la página web www.mijazztel.com, en fecha 5 de marzo de 2013, tal y como queda acreditado en la inspección practicada en las dependencias de la entidad. El dato del DNI y número de cuenta corriente se encuentra también en su base de datos en la medida en que el denunciante estuvo interesado en la contratación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 producto ADSL de Jazztel, tal y como consta en el histórico de contactos entre AGORA y el denunciante. En base a lo anterior, se puede determinar que no existe, por tanto, vulneración de la normativa en materia de protección de datos en la medida en que existe autorización expresa del denunciante, tal y como consta en la política de privacidad aceptada por el denunciante al rellenar el formulario de la página web www.mijazztel.com, “ los interesados autorizan expresamente a que sus datos puedan ser comunicados a las entidades mercantiles relacionadas con la marca, exclusivamente con la finalidad antes mencionada”…” la finalidad del tratamiento es la realización de ofertas, promociones, comercialización y contratación de productos de ocio, cultura deporte……utilizando cualquier medio de comunicación ya sea postal, electrónico o de cualquier otro tipo…”. Por tanto, se le indica que si desea dejar de recibir correos publicitarios, tendrá que ejercitar su derecho de cancelación ante ÁGORA CONTROL Y GESTIÓN EMPRESARIAL S.L a la dirección señalada en la política de privacidad ((C/.................1) Madrid, o vía email). En el caso de que la solicitud no fuera convenientemente atendida por esta entidad podrá dirigirse a esta Agencia, acompañando copia de la solicitud cursada y de la contestación recibida, en su caso, para que la Agencia proceda a tutelar el ejercicio de su derecho de cancelación reconocido en la citada LOPD y normativa que la desarrolla. Por otro lado, en los correos que recibe el denunciante aportados en su escrito de denuncia se observa que existe un link para darse de baja, sin que existan indicios de los que se infieran que el denunciado haya hecho uso de esta posibilidad. V Respecto a la posible vulneración del deber de secreto denunciada por el denunciante, sobre la base de que en los asuntos de los emails recibidos se mostraba su DNI, cabe señalar que el art 10 de la LOPD recoge lo siguiente: "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el caso presente, el hecho de que el DNI del denunciante se incluyera en el asunto de los mensajes junto con su nombre (“***NOMBRE.1-***DNI.1”) es debido a que el dato del DNI se introdujo en el campo del nombre por error. No obstante, los correos únicamente se enviaron al denunciante, por lo que no existe vulneración del deber de secreto en la actuación de la entidad denunciada, ya que no se ha producido revelación de este dato a terceros. Además, la entidad denunciada señala que el error ha sido corregido en cuanto han tenido conocimiento de ello. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
12. PROCEDER AL ARCHIVO de las presentes actuaciones.
13. NOTIFICAR la presente Resolución a ÁGORA CONTROL Y GESTIÓN EMPRESARIAL S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es