E-06488-2013

1/6 Expediente Nº: E/06488/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CECOFAR, S.C.A., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de octubre de 2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que declara: <<Por favor, lean esta noticia. http://www.elglobal........... En concreto, CECOFARMA es una nueva plataforma que permitirá disponer de una base de datos actualizada y dinámica del perfil del usuario de la farmacia, lo que redundará en una mejor comunicación entre la farmacia y el paciente/cliente. ¿Cómo que un almacén mayorista de medicamentos (CECOFAR) va a gestionar una base de datos, con información de pacientes, que se intercambiaran entre las farmacias a las que dicho paciente visite?>> Según dicho artículo: <<… Cecofarma es una nueva plataforma que permitirá disponer de una base de datos actualizada y dinámica del perfil del usuario de la farmacia, ...>> SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. De la información y documentación aportada por CECOFAR se desprende: a. Informa la entidad que CECOFAR, S.A. pertenece al Grupo Cecofar (junto con Cecofar Informática, S.L., Cecofar S.C.A. y otras). b. En relación a la información solicitada respecto de la “Plataforma de fidelización de clientes”, manifiesta la entidad informante que el titular de la misma es la entidad CECOFAR, S.C.A. (Centro Cooperativo Farmacéutico, sociedad cooperativa andaluza), y que Cecofar, S.A., es la encargada del tratamiento, en tanto en cuanto, determinado personal de la misma opera con dicha plataforma, y ello en la medida que estamos en presencia de dicho grupo empresarial que comparte la misma sede; y en ocasiones el personal de una u otra entidad trata datos de las otras - toda esta circunstancia, desde el punto de vista de la protección de datos de carácter personal, y respecto a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 ficheros declarados - tiene su constancia documental, tanto a través de los pertinentes contratos de encargados de tratamiento, como de la propia notificación en los ficheros declarados ante la Agencia, donde constan tanto los ficheros declarados, como los encargados de tratamiento. c. Manifiesta la entidad que, hasta la actualidad, no ha recibido ninguna solicitud de acceso, rectificación, cancelación ni oposición, ni ningún tipo de reclamación con relación a usuarios de la plataforma de referencia. d. La solicitud de inscripción del fichero que contiene los datos de la plataforma fue realizada el 10 julio de 2013, con la denominación CLUB CECOFARMA y número de inscripción ***CÓD.1. e. Aporta la entidad copia del formulario utilizado para recabar los datos personales de las personas que deseen adherirse al CLUB CECOFARMA. Se observa en dicho formulario que se recaban los siguientes datos personales: - Datos de filiación: nombre y apellidos, DNI, dirección, fecha de nacimiento, teléfonos fijo y móvil, correo electrónico. - Datos familiares: si se tienen hijos o no viviendo en casa, y las fecha de nacimiento de estos. - Encuesta respecto de los productos que se adquieren en la farmacia y otros establecimientos, el grado de satisfacción de los productos, los motivos por los que se acude a determinados establecimientos, farmacia habitual, frecuencia con que se visita, estilo de vida, si se tiene alguna persona dependiente al cargo, mascota, uso habitual de correo electrónico y SMS. Se aprecia que entre la información solicitada en la encuesta se pregunta por productos de parafarmacia, no por medicamentos que pueda estar tomando el afectado. Consta en el formulario un texto informativo, en cumplimiento del art. 5 de la LOPD, a través del cual se obtiene del consentimiento del solicitante que pasa a formar parte del CLUB CECOFARMA, y se identifica a la entidad responsable del fichero. Es de destacar que se trata de un texto extenso, usándose un diminuto tamaño de la letra. Facilitado un fichero en formato pdf con dicho formulario, se aprecia que los caracteres del texto informativo figuran en a un tamaño de 5 puntos. Entre las finalidades informadas en dicho formulario figura “…los datos de carácter personal por usted proporcionados y los que, en ejecución del contrato, se incorporen al fichero, serán susceptibles de cesión a terceros, concretamente a las FARMACIAS ADHERIDAS (con el fin de que éstas puedan gestionar el seguimiento y control de incompatibilidad entre los medicamentos que consuma,.. ”. Respecto a las medidas de seguridad, aporta la entidad copia del documento de seguridad, según el cual se han establecido medidas de seguridad de nivel básico. f. C/ Jorge Juan, 6 28001 – Madrid Aporta la entidad copia del modelo de datos, verificándose que www.agpd.es sedeagpd.gob.es 3/6 dispone de una tabla denominada Customer, en la que se almacenan los datos personales de los clientes adheridos a la tarjeta. Igualmente, cuenta con una tabla denominada CustomerHistory, que almacena información de las operaciones realizadas con la tarjeta de fidelización. Informa la entidad que dicha tabla no contiene registros. No aparece tabla alguna que almacene datos relativos a medicinas. 2. Se ha podido comprobar, mediante la correspondiente diligencia, que el fichero CLUB CECOFARMA figura efectivamente inscrito en el Registro General de Protección de Datos y que, según la declaración del fichero, solo almacena información de nivel básico. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en una información publicada en la web ELGLOBAL.NET, en la que se hace alusión a que la cooperativa farmacéutica CECOFAR presentó un proyecto, denominado CECOFARMA, referido al desarrollo de una plataforma en la que los usuarios podrán disponer de una base de datos del perfil del usuario de farmacia, señalando el denunciante sus dudas en torno a la adecuación de dicho soporte a la LOPD. Tras las actuaciones previas de investigación se ha comprobado que, en fecha 10 de julio de 2013, la entidad CECOFARMA inscribió un fichero, denominado “Club Cecofarma” cuya finalidad es gestionar la tarjeta de fidelización que se usará cuando el cliente compre en las oficinas de farmacia productos de parafarmacia. La LOPD en su artículo 25, prevé: “Podrán crearse ficheros de titularidad privada que contengan datos de carácter personal cuando resulte necesario para el logro de la actividad u objeto legítimos de la persona, empresa o entidad titular y se respeten las garantías que esta Ley establece para la protección de las personas”. El Artículo 26 de la LOPD, dispone: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros...” En consecuencia, CECOFARMA ha cumplido con la obligación de inscribir el fichero de fidelización de clientes de productos de parafarmacia. III El artículo 5 de la LOPD: recoge “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. …2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, que las mismas sean “determinadas, explícitas y legítimas”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. De la documentación aportada por CECOFARMA se constata que en el formulario de recogida de datos se incluye una amplia leyenda informativa, que recoge los apartados establecidos en el artículo 5 de la LOPD, si bien el tamaño de la letra es pequeño para que se pueda leer fácilmente; se recomienda a la entidad CECOFARMA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 que amplíe el tamaño de la letra de la tan citada leyenda informativa. IV El artículo 6 de la LOPD, en sus apartados 1 y 2, dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, se ha comprobado que los clientes de las oficinas de farmacia rellenan un formulario con sus datos, en el que se informa de la finalidad de su tratamiento; cumpliendo lo establecido en cuanto al principio del consentimiento para el tratamiento de los datos personales. V Por lo que respecta a las medidas de seguridad por parte de CECOFARMA, la LOPD en su artículo 9 dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. CECOFARMA ha facilitado el documento de seguridad del fichero denominado Club Cecofarma, adecuado al tipo de datos que son objeto de tratamiento. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CECOFAR, S.C.A., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es