E-06485-2013

1/6 Expediente Nº: E/06485/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AFFINION INTERNATIONAL S.L., y SIDECU S.L., en virtud de denuncias presentadas por Don A.A.A., y Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19 de septiembre de 2013, tuvieron entrada en esta Agencia cuatro escritos remitidos por Don A.A.A., y Doña B.B.B., en los que declaran que Affinion International ha incorporado a sus ficheros sus datos personales y número de cuenta sin su consentimiento. Estos datos se han obtenido de Sidecu S.L., Centro Deportivo Supera, del que son clientes. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. La actividad de Affinion se centra en el diseño de campañas de fidelización de clientes para otras entidades (colaboradores) y en poner a disposición de esas otras entidades, productos de fidelización que estos a su vez puedan ofrecer a sus clientes finales. En la actualidad cuentan con 500.000 clientes. La primera actividad no lleva asociado el tratamiento de datos personales. Para recabar los datos personales de sus clientes suscriben contratos de colaboración con diversos colaboradores entre los que se encuentran Movistar, Venca, Club Cortefiel y Centro Deportivo Supera. Affinion acuerda con cada uno de estos colaboradores el argumentario con las cuestiones y los datos necesarios para ofrecer el producto a los potenciales clientes de Affinión y recabar el consentimiento para la contratación. Los colaboradores ofrecen los productos de Affinión a sus propios clientes contactando telefónicamente con ellos. Para ello suscriben un contrato de prestación de servicios con Call Center que actúan como encargados del tratamiento. Affinion por su lado también suscribe un contrato de prestación de servicios con cada uno de los Call Center contratado por sus entidades colaboradoras. De este modo, si el cliente del colaborador acepta la contratación de los servicios de Affinion, el Call Center que realiza la llamada verifica lo datos con el cliente y recaba es el consentimiento para transferir los datos de los clientes a Affinion para formalizar la venta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 El responsable de la custodia de las grabaciones de las contrataciones son los Call Center contratados con la salvedad del utilizado por Movistar, que debido al volumen, desde diciembre remiten periódicamente a Affinion algunas de las grabaciones que custodia. El personal del Call Center graba los datos de cada nueva contratación en los ficheros de Affinion. Al día siguiente se hace una verificación de la voluntad de contratación a un intervalo comprendido entre el 50% y el 60%. Según indican los representantes de AFFINION, las entidades de telemárketing contratadas para clientes de SIDECU (CENTROS SUPERA), es FIDELIZA que actúa como encargado de tratamiento de SIDECU y a su vez tiene contratado a STD que es el call center para la realización del Telemarketing. 2. Cuando un cliente contrata el servicio Disfruta y Ahorra, dispone de un plazo de 30 días gratuitos. Este periodo comienza a contar 15 días después de la contratación, que es el plazo estimado para la recepción de la documentación en el domicilio del cliente (Wellcome Pack) o en la dirección de correo electrónico facilitada (Wellcome Email) Tanto el Wellcome Pack como el Wellcome Email se consideran copias del contrato ya que en ambos documentos se encuentra toda la información contractual obligatoria. El cliente no debe de devolver nada firmado ya que el consentimiento para la contratación se obtiene durante la llamada, además estos documentos contienen información para utilizar las promociones y descuentos del servicio, pero no se anexa ningún tipo de documento que deban devolver firmado. En estos documentos se dan instrucciones para darse de alta en la página web de la entidad, pero esta alta es con la finalidad de solicitar los descuentos a que tienen derecho como clientes, no para confirmar la contratación. También se ha establecido un sistema de control de correos devueltos. De modo que cuando un Wellcome Pack es devuelto se verifica que la dirección es correcta, se intenta contactar telefónicamente con el cliente hasta 3 veces y si no se consigue se le da de baja en el servicio. 3. Se solicita el acceso al sistema de información donde realizan las siguientes comprobaciones en relación con la contratación de los servicios de Disfruta y Ahorra por parte de B.B.B. DNI ***DNI.1: 3.1. Se verifica que en el sistema de información, en la pantalla de Datos de Cliente figura nombre y apellidos, DNI, teléfono, fecha de nacimiento y correo electrónico 3.2. Se consultan las suscripciones de este cliente verificándose que se ha dado de alta en un servicio: 3.2.1.Servicio Disfruta y Ahorra asociado al número de cliente ***CLIENTE.1, con fechas de alta y baja 04/07/2013 y 22/08/2013. La carta Wellcome Pack fue enviada el 08/07/2013. La entidad colaboradora que ha contactado con el cliente para ofrecerle los productos de Affinion en Centros Deportivos Supera. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 La cliente solicita la baja con anterioridad a la finalización del periodo de prueba por lo que no se le han generado facturas. En los contactos mantenidos con el cliente se refleja que en fecha 22/08/2013 ha contactado con la entidad solicitando la baja y que no se le facture en servicio. 3.2.2.Se escucha la grabación de la contratación a nombre de Doña B.B.B. verificándose: Que el interlocutor solicita el consentimiento para ceder sus datos a AFFINION con la finalidad de contratar el producto “disfruta y ahorra” Le informan de que dispone de un periodo de prueba de 30 días Verifican los 4 últimos dígitos de la cuenta corriente en que se va a realizar el pago La interesada confirma su nombre completo, la dirección postal y aporta su correo electrónico. También confirma su DNI 4. Se solicita el acceso al sistema de información donde se verifica que no figura ninguna información asociada a Don A.A.A. DNI ***DNI.2, en relación con la contratación de los servicios de Disfruta y Ahorra, y Mi Asesor. 5. Los representantes de Sidecu S.L. aportan copia de la hoja de inscripción de la afectada en la que, aceptaba las siguientes condiciones en el tratamiento de sus datos personales: “De acuerdo con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, "la LOPD"), el abonado y/o usuario (en adelante, "el abonado") presta su consentimiento para que sus datos personales se incorporen a los ficheros, automatizados o no, propiedad de Sidecu, S.L., que tienen como finalidad la gestión de los abonados, premiar su fidelidad y mantenerlos informados (envío de boletín de noticias), por cualquier medio (electrónico o no), de todas las ofertas de productos y/o servicios y/o promociones, incluyendo el análisis y la formación de perfiles y, en general, la realización de acciones comerciales, de promoción y/o marketing relacionadas con las actividades propias del objeto social de Sidecu, S.L. así como con el deporte, ocio, salud, bienestar, material deportivo, proveedores de transporte, seguros, servicios inmobiliarios, financieros y bancarios, publicidad y la prestación de servicios de valor añadido. A los efectos de lo dispuesto en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, el abonado autoriza a Sidecu, S.L. a remitirle comunicaciones comerciales, promocionales o publicitarias, por correo electrónico o cualquier otro medio de comunicación electrónica equivalente. Asimismo, el abonado presta su consentimiento para que sus datos personales puedan ser comunicados, con idénticos fines, a las sociedades que en cada momento integren el Grupo Sidecu (www.centrosupera.com) y a terceros que, del mismo u otros sectores, contraten o presten tales servicios a Sidecu, S.L. y/o proporcionen al abonado los productos y/o servicios ofrecidos por Sidecu, S.L. o las empresas del Grupo Sidecu. A los efectos previstos en la LOPD, el abonado se da por notificado de tales cesiones.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Seguidamente figura una casilla que da la opción de oponerse “al tratamiento o comunicación de los datos personales para finalidades que no guarden relación directa con el mantenimiento control o desarrollo de la actividad contractual” Esta casilla se encuentra en blanco en el contrato suscrito por la afectada. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos denunciados se concretan en la cesión de los datos de la denunciante por parte de Centro Deportivo Supera, sin su consentimiento, y el tratamiento de los mismos por parte de Affinion Internacional, S.L. El artículo 11 de la LOPD, en su primer apartado indica lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Tras escuchar la grabación telefónica aportada por la entidad Sidecu y que consta en las Actuaciones Previas de Investigación, se comprueba que la operadora solicita expresamente el consentimiento de la Sra. B.B.B. para que ceda sus datos, incluido su número de cuenta corriente, a Affinion para poder contratar el producto Disfruta y Ahorra, informando del cargo que supone y de las condiciones, a lo que el denunciante consiente. Por otro lado, Affinion Internacional, S.L., ha tratado los datos del denunciante, informando durante la llamada telefónica de los apartados establecidos en el artículo 5 de la LOPD, que señala que: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”. Por su parte, el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), desarrolla el citado artículo 5 de la LOPD en cuanto a la información que se ha de facilitar a los afectados cuando se solicita el consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, disponiendo que se deberá permitir a los afectados que manifiesten expresamente su negativa al mencionado tratamiento o comunicación de datos ajeno a dicha relación contractual. Así, el artículo 15 del RDLOP dispone lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” De lo expuesto cabe concluir que la vigente normativa de protección de datos ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. En el caso que nos ocupa, cabe concluir que tanto la cesión de los datos de la denunciante por parte de Centro Deportivo Supera (Grupo Sidecu), como el tratamiento de los mismos por parte de Affinion, contaban con el consentimiento de la denunciante al ofrecerle durante la conversación grabada la oportunidad de mostrar su negativa, sin que ejerciera tal posibilidad; o, en todo caso, actuó con la diligencia suficiente. Debe subrayarse que, a efectos sancionadores, la SAN de 29 de abril de 2010, entre otras, dispone lo siguiente: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación”. . Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a AFFINION INTERNATIONAL S.L., a SIDECU S.L. y a Don A.A.A. y Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es