← España

E-04762-2015

1/7 Expediente Nº: E/04762/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidad EUROPEA DE SERVICIOS Y DISTRIBUCIONES, S.A. en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad EUROPEA DE SERVICIOS Y DISTRIBUCIONES, S.A. (en lo sucesivo EUROSERV), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00076/2015, que concluyó mediante resolución nº R/01939/2015, de fecha 06/08/2015, en la que se tuvieron por probados los siguientes hechos: <<1. La entidad EUROSERV es titular de la web www.euroserv.es, en la que se insertan formularios de recogida de datos personales de clientes y usuarios, y está habilitada para que los interesados en participar en los procesos de selección de personal de la entidad puedan facilitar su CV. 2. Con fecha 23/06/2014, la Subdirección General de Inspección de Datos constató que el sitio web www.euroserv.es incorporaba un “Aviso Legal”, insertado en el mismo como paso 1 del proceso de registro de usuarios, en el que se informaba a los mismos que los datos que facilitasen podrían ser utilizados para informarles “sobre los productos y servicios ofrecidos por Euroserv” y cedidos a otras entidades del Grupo de empresas de EUROSERV y a sociedades con las ésta concluya acuerdos de colaboración, con la finalidad de que el usuario reciba información relacionada con las mismas. Asimismo, se añadía que el usuario podía revocar la aceptación de la cesión de datos en cualquier momento. En el final del texto se incluía una casilla sin marcar con la indicación “Si, acepto las condiciones”. Por otra parte, en este “Aviso legal” se informa sobre la existencia de un fichero responsabilidad de EUROSERV y sobre la posibilidad de ejercer los derechos establecidos en la LOPD. 3. Con fecha 13/03/2015, la Subdirección General de Inspección de Datos constató que el sitio web www.euroserv.es incorporaba un “Aviso Legal”, con el rótulo “Política de Protección de Datos”, que consta reproducido en el Antecedente Tercero, el cual no contenía la información a la que se refiere el artículo 5 de la LOPD. 4. Con fecha 15/07/2015, la Subdirección General de Inspección de Datos constató que el sitio web www.euroserv.es incorpora un “Aviso Legal”, cuyo apartado 4 está dedicado a la protección de datos de carácter personal, cuyo contenido, que consta reseñado en el Antecedente Quinto, se declara reproducido en este Hecho Probado. Dicho Aviso incluye una casilla habilitada para que el interesado se oponga a la cesión de sus datos personales, habiéndose comprobado que la misma está operativa>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 26/08/2015 se acordó lo siguiente: “1.- APERCIBIR (A/00076/2015) a la entidad EUROPEA DE SERVICIOS Y DISTRIBUCIONES, S.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45.1.

  1. b)del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, tipificada como leve en el artículo 44.2.
  2. c)de la citada Ley Orgánica, respectivamente, y de conformidad con lo establecido en los artículos 36 y 37.a),
  3. f)y
  4. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos”. 2.- REQUERIR a EUROPEA DE SERVICIOS Y DISTRIBUCIONES, S.A., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a informar a través de la Política de Privacidad insertada en su web sobre los sectores de actividad de las empresas a las que se cederán los datos con fines promocionales y a los que se referirá la información comercial, así como a establecer un mecanismo que obligue a los usuarios de la web a aceptar la Política de Privacidad durante el proceso de registro de los datos personales. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/04762/2015, podría incurrir en una infracción del artículo 37.1.
  5. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
  6. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
  7. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica”. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, se instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/047622015. CUARTO: En relación con lo instado en la resolución mencionada, se recibió escrito de EUROSERV, mediante el que informa sobre las medidas adoptadas para atender el requerimiento mencionado en el Antecedente anterior, en los términos siguientes: <<Primera. Deber de informar a los usuarios de los sectores de actividad de las empresas del grupo Cofares (Cesionarias). Que con la finalidad de dar cumplimiento al apartado
  8. b)del artículo 45 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal , que establece que “sólo podrán utilizar nombres y direcciones u otros datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 cuando Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.”; Se ha procedido a modificar punto 4.Protección de datos de carácter personal apartado —cesión de datos- del aviso legal de la página web de Euroservwww.euroserv.es en el siguiente sentido: “Cesión de datos: Asimismo, EUROSERV le informa que salvo que manifieste lo contrario marcando la casilla correspondiente Ud., consiste que COFARES ceda de sus datos de carácter personal a otras empresas del Grupo COFARES, con la finalidad de remitirle comunicaciones relacionadas con el sector farmacéutico, salud y belleza así como financiero. A través de la Página Web www.cofares.es en la sección GRUPO COFARES, los usuarios pueden obtener información sobre todas las empresas del Grupo./-/ No consiento la cesión. Que dicha información está a disposición de los a usuarios y potenciales visitantes en htto://www.euroserv.es/Iegal/es_Iegal.jsp Segunda.- Obligación de establecer un mecanismo que obligue a los usuarios de la web a aceptar la Política de Privacidad durante el proceso de registro de datos personales. Que de igual modo, y en cumplimiento del artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que establece que “En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Se ha procedido a HABILITAR en la página web de Euroser vwww.euroserv.com LA OPCION “HE LEIDO Y ACEPTO EL AVISO LEGAL”. En este sentido y para que un Usuario pueda enviar el formulario de registro con sus datos de carácter personal deberá obligatoriamente aceptar la opción II He leído y acepto el aviso legal. Dicha opción contiene un Link al aviso legal de EUROSERV. De igual modo, el sistema obliga al Usuario a aceptar el apartado 4 relativo a la protección de datos de carácter personal antes de poder enviar el formulario con sus datos de carácter personal>>. QUINTO: Por la Subdirección General de Inspección de datos se accede al sitio web euroserv.es y se incorpora a las actuaciones el “Aviso Legal” insertado en la misma, comprobándose que incluye las modificaciones reseñadas en el Antecedente Cuarto; e impresión de pantalla correspondiente al proceso de registro de usuarios, en la que consta una casilla habilitada para marcar la aceptación de dicho aviso. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 conforme a lo establecido en el artículo 37.
  9. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00076/2015 se imputó a la denunciada el incumplimiento del deber de información regulado en el artículo 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  10. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  11. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  12. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  13. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  14. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  15. c)y
  16. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad EUROSERV debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
  17. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. En el caso que nos ocupa se ha podido comprobar que la entidad EUROSERV incumplió lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
  18. b)del RD 1720/2007, en la medida en que recababa datos personales de clientes y usuarios de la web www.euroserv.es, que además está habilitada para que los interesados en participar en los procesos de selección de personal de la entidad puedan facilitar su CV, ofreciendo una información en materia de protección de datos que no se ajustaba a las previsiones normativas reseñadas. En concreto, EUROSERV informaba a través de su web mediante dos documentos, ambos denominados “Aviso legal”. El primero de ellos contenía una cláusula informativa en la que se indicaba que el usuario de la web www.euroserv.es consentía que sus datos sean utilizados y cedidos con fines publicitarios, sin identificar todos los sectores de actividad a los que se referirá la publicidad. En este “Aviso legal”, insertado como paso 1 del proceso de registro de usuarios, se informaba a los mismos que los datos que facilitasen podrían ser utilizados para informarles “sobre los productos y servicios ofrecidos por Euroserv” y cedidos a otras entidades del Grupo de empresas de EUROSERV y a sociedades con las ésta concluya acuerdos de colaboración, con la finalidad de que el usuario pueda recibir “informaciones relacionadas con los mismos”, sin ningún otro detalle que identifique a las entidades cesionarias y los sectores de actividad de las mismas a los que podría referirse la información publicitaria, en contra de lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Asimismo, en el final del texto se incluía una casilla sin marcar con la indicación “Si, acepto las condiciones”, que no permitía diferenciar el consentimiento para el proceso de registro de usuario del consentimiento para la cesión de los datos. En definitiva, no se ofreció al usuario una casilla u otro mecanismo válido para que el mismo manifestase su negativa a la cesión de datos informada, en los términos establecidos en el artículo 15 del citado RD 1720/2007, que impone la obligación de ofrecer ese mecanismo en el momento mismo de la recogida de los datos o, en los términos del mencionado artículo, “durante el proceso de formación de un contrato” antes transcrito. El segundo documento incorporado a la web www.euroserv.es, que hacía referencia a la “Política de Protección de Datos” de EUROSERV, también denominado “Aviso Legal”, no contenía la información a la que se refiere el artículo 5 de la LOPD. No obstante, el “Aviso Legal” analizado en primer lugar informaba sobre la existencia de un fichero responsabilidad de EUROSERV y sobre la posibilidad de ejercer los derechos establecidos en la LOPD. De acuerdo con lo expuesto, se iniciaron actuaciones contra la entidad EUROSERV por el incumplimiento del deber de información, recogido en el artículo 5 de la LOPD. Por otra parte, se tuvo en cuenta que la citada entidad EUROSERV no ha sido sancionada o apercibida con anterioridad, por lo que, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 5 de la LOPD. Posteriormente, se constató que EUROSERV había sustituido el “Aviso legal” incorporado al sitio web www.euroserv.es, incluyendo en el mismo información sobre la existencia de un fichero y la entidad responsable del mismo, la finalidad del tratamiento, el mecanismo para el ejercicio de los derechos y la posibilidad de utilizar los datos “para remitir comunicaciones publicitarias por cualquier medio electrónico” sobre productos y servicios ofrecidos por EUROSERV a través del sitio web y se indicaba una dirección de correo a la que el afectado podrá remitir la palabra “Baja” manifestando su negativa a la utilización de sus datos para el envío de informaciones comerciales. Asimismo, informaba sobre la posibilidad de ceder los datos “con la finalidad de remitirle comunicaciones referentes a las ofertas de sus productos y servicios”, habiendo habilitado una casilla para que el interesado manifestase su negativa a la cesión de sus datos personales y señalando que la información sobre todas las empresas del Grupo puede obtenerse en la web www.cofares.es. Sin embargo, no se indican los sectores de actividad a los que se referirán estas ofertas, por lo que se insta a EUROSERV a subsanar esta deficiencia. Por otra parte, la casilla “Si, acepto las condiciones” se mantuvo operativa y, por tanto, se reiteraron los reparos señalados al respecto, considerando que este mecanismo no permite diferenciar el consentimiento para el proceso de registro de usuario del consentimiento para la cesión de los datos. En definitiva, se estimó que EUROSERV había corregido sustancialmente los reparos que motivaron el procedimiento de apercibimiento, con las salvedades indicadas en los párrafos anteriores. Por ello, en la parte dispositiva de la resolución del procedimiento A/00076/2015, se instó a EUROSERV a “informar a través de la Política de Privacidad insertada en su web sobre los sectores de actividad de las empresas a las que se cederán los datos con fines promocionales y a los que se referirá la información comercial, así como a establecer un mecanismo que obligue a los usuarios de la web a aceptar la Política de Privacidad durante el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 proceso de registro de los datos personales”. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la entidad denunciada ha atendido el requerimiento efectuado en la citada resolución, de 25/08/2015. En concreto, ha procedido a modificar punto 4. Protección de datos de carácter personal del Aviso Legal, el apartado relativo a la cesión de datos, señalando que la cesión a otras empresas del Grupo Cofares se realiza “con la finalidad de remitirle comunicaciones relacionadas con el sector farmacéutico, salud y belleza así como financiero”; y ha habilitado en su web la opción “HE LEIDO Y ACEPTO EL AVISO LEGAL” en el proceso de registro de usuarios, lo que conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad EUROPEA DE SERVICIOS Y DISTRIBUCIONES, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.