1/4 Expediente Nº: E/04698/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad MERCADONA, S.A., en virtud de denuncia presentada por la Dirección General de la Guardia Civil, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de agosto de 2016, tuvo entrada en esta Agencia un escrito remitido por la Dirección General de la Guardia Civil en el que expone lo siguiente: “Con fecha 21 de julio de 2016 acude a sus dependencias A.A.A., para denunciar que tras haber realizado una compra en el establecimiento MERCADONA, y solicitar la entrega en domicilio, es informada por personal del establecimiento, que en su base de datos constaba una persona con su mismo número de DNI. Una vez realizadas gestiones ante el Departamento de telecompra MERCADONA, les informan que existe la posibilidad de coexistencia en su base de datos de dos personas con el mismo DNI. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fechas 16 de noviembre de 2016, se realizan pruebas de registro a través de Internet de dos personas, con datos ficticios, utilizando el mismo DNI; comprobándose que es posible realizar el alta en los dos casos. Se verifica que la validación se efectúa mediante la dirección de correo electrónico. Se adjunta Diligencia con la impresión de ambas altas y la confirmación de registro. 2. Del escrito remitido con fecha 13 de diciembre de 2016 por MERCADONA, se desprende que: En la aplicación que gestiona el registro de personas que acceden a través de la página web, no existe método de control que contraste si un número de documento nacional de identidad corresponde a otra persona; únicamente verifica que el formato sea correcto y que la letra corresponda a la numeración. El usuario al registrarse y aceptar las condiciones de protección de datos, acepta bajo su responsabilidad que los datos sean exactos y reales. Se adjunta cláusula. No obstante, el sistema remite un correo electrónico a la dirección electrónica proporcionada por el usuario, para validar el alta. La gestión de envío de pedidos siempre es realizada por personal de MERCADONA y únicamente acceden a los datos de clientes las personas autorizadas para ello. Cuando el envío se realiza desde un supermercado, el cajero/a pide el DNI al cliente, y si este está registrado y hubiera más de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 ficha, se pueden ver varias direcciones. En el caso de la denunciante y a la vista de lo acontecido y comprobar que el DNI no corresponde al otro cliente, se ha procedido al bloqueo de los datos de este último, ya que se intentó contactar con él sin éxito. Además se ha averiguado que la dirección de e-mail que éste aportó @guerrillamail.com, es de la que se utilizan temporalmente sobre todo por empresas de toma de precios. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 5, apartados 1 y 2 de la LOPD establece lo siguiente: “Art. 5 Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” Mercadona recoge datos de los clientes a los que va a entregar pedidos en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 domicilio de dos formas: a través de la página web y de forma presencial. Cuando el cliente acude a un establecimiento, el/la cajero/a solicita su DNI para identificarle correctamente e incluir sus datos en los ficheros de la entidad. Si el pedido se realiza por medio de correo electrónico, Supermercado Online, al darse de alta se incluye un apartado de “Confidencialidad y protección de datos, en el que se incluye la leyenda siguiente: • • • • <<Mercadona se compromete a la protección y confidencialidad de los datos personales de los usuarios de nuestra página Web, quedando alojados en un servidor seguro. Para acceder y utilizar el servicio de compra online, es necesario que facilite los datos personales señalados como obligatorios, que deberán ser exactos y reales, de lo contrario, no podrá formalizarse su registro y no podrá acceder y utilizar nuestro servicio de compra online. Sus datos serán incorporados a un fichero titularidad de MERCADONA, con el fin de gestionar su petición y facilitar la tramitación de su pedido, siendo utilizados para uso interno e informarle de productos y servicios con el fin de ofrecerle un trato más personalizado. Según lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), como cliente de Mercadona puede ejercitar los derechos de acceso, rectificación, cancelación, y oposición de sus datos comunicándolo por escrito a Mercadona, S.A., C/…o llamando al 900******>> Los datos personales que recaba Mercadona cuando el cliente se inscribe online son los que él mismo facilita. La empresa investigada indica que los datos deben ser reales, verificando que la letra del DNI es la correcta y enviando un correo electrónico a la dirección electrónica proporcionada por el usuario, para validar el alta. En el supuesto denunciado, al verificar Mercadona que el DNI no correspondía al cliente que facilitó sus datos online, procedió al bloqueo de los mismos tras su intentó de contactar con él sin éxito. Además se ha averiguado que la dirección de e-mail que éste aportó @guerrillamail.com, es de la que se utilizan temporalmente sobre todo por empresas de toma de precios. Por tanto, Mercadona ha actuado con la diligencia debida, primero al incluir en la política de privacidad de su página web la información establecida en el artículo 5 de la LOPD, y en segundo lugar, al comprobar que los datos facilitados online no eran correctos, procediendo a su bloqueo. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a MERCADONA, S.A., y a la DIRECCION GENERAL DE LA GUARDIA CIVIL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es