1/6 Expediente Nº: E/05831/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A., en virtud de denuncia presentada por D. B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: En relación con D. A.A.A. (en lo sucesivo el denunciado), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00150/2014, que concluyó mediante resolución nº R/02059/2014, de fecha 19/09/2014, en la que se tuvieron por probados los siguientes hechos: “1. El denunciado es titular del dominio electronicarc.com. 2. Con fecha de 03/07/2013, se formuló denuncia por la recogida de datos personales a través de la web electronicarc.com, mediante un formulario insertado en la misma, sin informar conforme a lo dispuesto en el artículo 5 de la LOPD. 3. Con fechas 16/09/2013, 13/05 y 12/09/2014, por la Inspección de Datos se accede al sitio web electronicarc.com, constatando que el formulario de recogida de datos personales denominado “Datos de mi cuenta”, insertado en el mencionado sitio web, no incluye ninguna información sobre los aspectos contemplados en el artículo 5 de la LOPD y que la citada página no contiene ningún enlace sobre política de privacidad. El citado formulario exige a los clientes cumplimentar sus datos personales relativos a sexo, nombre, apellidos, e-mail, dirección postal y teléfono”. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 19/09/2014 se acordó lo siguiente: <<1.- APERCIBIR (A/00150/2014) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
- f)y
- n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos>>. <<2.- REQUERIR a D. A.A.A., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a insertar en los formularios que emplea para la recogida de datos de carácter personal y en su página Web la información que se especifica en el artículo 5 de la LOPD, cuyo detalle se recoge en el Fundamento de Derecho. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/05831/2014. CUARTO: En relación con lo instado en la resolución mencionada, el denunciado presentó escrito señalando que ha inscrito sus ficheros en el Registro General de Protección de Datos y ha insertado en todos los formularios de su página web la información a la que se refiere el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), así como en el enlace “Política de Privacidad”. Aporta captura de pantallas de los enlaces reseñados: . Con los formularios de recogida de datos denominados “Contacta con nosotros” y “Datos de mi cuenta”, accesibles en la web electronicarc.com, aparece insertada la siguiente información en materia de protección de datos personales: “LEY DE PROTECCION DE DATOS: En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999 de 13 de Diciembre, de Protección de Datos de Carácter Personal, le informamos de que: A. En su calidad de propietario, el responsable de este fichero es ElectronicaRC-A.A.A. con NIF… y domicilio social en (C/.............1) Sevilla. Este fichero se inscribió en el Registro General de Protección de Datos y cuenta con el código asignado por dicho ente. B. ElectronicaRC-A.A.A. garantiza la confidencialidad de todos los datos facilitados por sus clientes. Además de los mínimos establecidos por la legislación, la recogida y tratamiento de los datos se efectúan bajo niveles de seguridad que impiden la pérdida o manipulación de los datos. C. De acuerdo con la legislación vigente, todos los clientes de ElectronicaRC-A.A.A. tienen el derecho de acceso, rectificación, cancelación y oposición de sus datos. Además, en cualquier momento, el cliente puede manifestar su deseo de NO recibir ningún tipo de publicidad. Para ejercitar estos derechos, los clientes pueden dirigirse por correo postal a la dirección: C/ (C/.............2) (Sevilla) (Ref. LOPD), o llamar al teléfono ***TEL.1, o enviar un correo electrónico a la dirección .....@electronicarc.com. D. Para el mejor cumplimiento de sus servicios, ElectronicaRC-A.A.A. se encuentra obligado a facilitar determinados datos de sus clientes (nombre, dirección, teléfono, etc.) a otras empresas que colaboran con la prestación del servicio (transportistas, entidades financieras, etc.). En todos los casos, los datos que se facilitan son los estrictamente necesarios para la actividad concreta que se vaya a realizar”. . En el apartado “Política de Privacidad” de la web electronicarc.com aparece insertada la siguiente información en materia de protección de datos personales: “La presente declaración de privacidad describe la forma en que ElectronicaRC-A.A.A., en adelante ELECTRONICARC, recopila, almacena y utiliza la información de los visitantes de esta página web. MEDIANTE EL USO DE ESTA PÁGINA WEB, USTED CONSIENTE LA RECOPILACIÓN Y EL USO DE LA INFORMACIÓN TAL Y COMO SE ESTABLECE EN ESTA POLÍTICA DE PRIVACIDAD. TAMBIÉN SE LE INFORMA QUE ELECTRONICARC. PERIÓDICAMENTE PUEDE CAMBIAR, MODIFICAR, AÑADIR, ELIMINAR O BIEN ACTUALIZAR POR CUALQUIER OTRO MEDIO ESTA POLÍTICA DE PRIVACIDAD, SEGÚN SU CONSIDERACIÓN Y SIN NOTIFICACIÓN PREVIA. Sin embargo, siempre gestionaremos su Información Personal de acuerdo con la Política de Privacidad vigente en el momento de la recopilación de sus datos. Nuestra intención es exponer los cambios en nuestra Política de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Privacidad a través de esta página, de forma que disponga de información completa sobre los tipos de datos que estamos reuniendo, su utilización y bajo qué circunstancias pueden ser difundidos. Puede encontrar esta Política de Privacidad en nuestra página principal y también está disponible en cualquier página de ELECTRONICARC en la que se soliciten datos personales. En todas las secciones en las que se recaben Datos Personales, se proporcionará, de ser necesaria, una explicación ampliada sobre los fines para los cuales se utilizarán los datos solicitados. 1. Existencia de fichero de datos personales En su calidad de propietario, el responsable de este fichero es ElectronicaRC-A.A.A. con NIF… y domicilio social en (C/.............1) Sevilla. Este fichero se inscribió en el Registro General de Protección de Datos y cuenta con el código asignado por dicho ente. 2. Compromiso de privacidad En esta Política de Privacidad se utiliza el término “Datos Personales” en relación a información como el nombre, dirección de correo electrónico, dirección postal o número de teléfono, que pueda utilizarse para su identificación. Generalmente, sólo procesaremos sus Datos Personales tal y como se describe en la presente Política de Privacidad. Sin embargo, nos reservamos el derecho a realizar procesamientos adicionales con el alcance autorizado o solicitado por la ley, o como apoyo a cualquier investigación criminal. Las siguientes secciones explican cómo y dónde recopilamos sus Datos Personales. 3. Utilización de los Datos Personales La visita a nuestra web, no requieren ningún tipo de registro, lo cual permite que visite nuestra página web sin necesidad de identificarse. Sin embargo, para realizar compras es necesario que facilite sus Datos Personales. En estas situaciones, si decide no revelar alguno de los Datos Personales solicitados no será posible el acceso a la compra online de la página web. Todos los Datos Personales recabados a través de esta página web se incluirán en un fichero titularidad de ELECTRONICARC, con el objetivo de proporcionarle y/o facturarle los productos que haya solicitado, así como para mantenerle informado, incluso por medios electrónicos, sobre productos de ELECTRONICARC, y que consideramos que pueden ser de su interés. En todo caso, la utilización de sus datos para cualquier otra finalidad le será comunicada antes de proceder a su tratamiento. 4. Confidencialidad de los Datos Personales Nos comprometemos a no vender, difundir o distribuir de cualquier otro modo sus Datos Personales a terceros. Los Datos Personales podrían revelarse a un tercero si fuéramos requeridos para actuar de este modo en función de una ley aplicable, una orden judicial o una regulación gubernamental, o bien en caso de que dicha revelación fuera necesaria como apoyo a una investigación criminal u otros procesos legales, tanto en nuestro país como en el extranjero. 5. Derecho de acceso, rectificación, cancelación y oposición Siempre que procesemos Datos Personales, adoptaremos las medidas razonables para garantizar que éstos sigan siendo precisos y estén actualizados para los objetivos que motivaron su recopilaron. Usted podrá oponerse al tratamiento de sus Datos Personales en caso de que el mismo no se ajuste a un objetivo comercial legítimo, tal y como se describe en la presente política o en cumplimiento de la ley. En caso de marketing directo o electrónico, le proporcionaremos un sistema para rechazar la recepción de comunicaciones comerciales adicionales. Si desea ponerse en contacto con nosotros en relación al uso de sus Datos Personales o bien ejercer sus derechos de acceso, rectificación, cancelación y oposición al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 tratamiento de sus Datos Personales, por favor, envíe un correo electrónico a .....@electronicarc.com (Ref. LOPD), dirija una comunicación escrita a calle (C/.............2) (Sevilla) España o llame al teléfono ***TEL.1. Las solicitudes para cancelar los datos personales estarán sujetas a cualquier requerimiento legal aplicable o clasificación de documentos u obligaciones de retención documental que nos sean impuestas. 6. Seguridad y confidencialidad Con el fin de garantizar la seguridad y confidencialidad de los Datos Personales que recopilamos online, utilizamos redes de datos protegidas mediante cortafuegos estándar protegidos con contraseña. Durante el tratamiento de sus Datos Personales, tomamos medidas diseñadas adecuadamente para proteger dicha información ante posibles pérdidas, uso inadecuado, acceso no autorizado, revelación, alteración o destrucción. 7. Enlaces a otras páginas web La presente Política de Privacidad se aplica sólo a esta página web y no a las páginas web propiedad de terceros. Facilitaremos enlaces a otras páginas web que consideramos de interés para nuestros visitantes. Nuestro deseo es garantizar que dichas páginas mantienen los estándares más elevados. Sin embargo, debido a la propia naturaleza de Internet, no podemos garantizar los niveles de privacidad de las páginas web con las cuales enlazamos, así como tampoco responsabilizarnos de los contenidos de las páginas que no sean la nuestra propia. La presente Política de Privacidad no está dirigida a su aplicación en cualquier página con la que mantengamos un enlace y que no pertenezca a ELECTRONICARC. 8. Contáctenos Para cualquier consulta o reclamación sobre el cumplimiento de esta Política de Privacidad, o si desea dirigir alguna recomendación o comentario destinado a mejorar la calidad de la misma, por favor envíe un correo electrónico a .....@electronicarc.com”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento A/00150/2014 se imputó al denunciado el incumplimiento del deber de información regulado en el artículo 5 de la LOPD, que establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, el denunciado debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El número 2 del mismo precepto establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “... figuraran en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este caso, se comprobó que el denunciado no facilitaba en el momento de la recogida de los datos personales a través de los formularios elaborados por el mismo la información prevista legalmente en materia de protección de datos. En concreto, se constató la existencia de un formulario de recogida de datos denominado “Datos de mi cuenta”, insertado en la web electronicarc.com, que establece como campos obligatorios los relativos, entre otros, a sexo, nombre, apellidos, email, dirección postal y teléfono, y en el que no se contenía ninguna leyenda informativa en materia de protección de datos personales. En consecuencia, se consideró que el denunciado no había dado cumplimiento a las normas expuestas, y se se instó al mismo a insertar en los formularios que emplea para la recogida de datos de carácter personal y en su página Web la información que se especifica en el citado artículo 5 de la LOPD. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de que el denunciado ha atendido el requerimiento efectuado en la resolución de 19/09/2014, habiendo insertado en la web mencionada la información que se detalla en el Antecedente Cuarto de la presente resolución, lo que conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A. y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es