← España

E-06522-2019

1/5  Procedimiento Nº: E/06522/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 18 de marzo de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Assemblea Nacional Catalana, con NIF G65581621 (en adelante, la reclamada). La reclamante manifiesta que es residente en el Reino Unido, y que recibió mensajes electrónicos de la rama británica de la ANC (https://assemblea.cat/index.php/organitzacio/assemblees-exteriors/anglaterra-perla-independencia/) sin previa autorización. Según expone, su dirección de correo en Reino Unido solo la tenía la Ong Catalans UK y la Delegación de la Generalitat de Cataluña. Aporta listado de más de 40 mensajes recibidos entre septiembre de 2016 y febrero de

  1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03113/2019, se dio traslado de dicha reclamación a la reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 25 de junio de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 26 de julio de 2019, la reclamada manifiesta lo siguiente: 1.En relación al origen de la dirección de correo electrónico “***EMAIL.1” los representantes de ANC manifiestan: “que Dña. A.A.A. se inscribió al evento “El Candado Constitucional” que se celebró en Londres el 6 de diciembre de 2016, promovido por la Assemblea Nacional Catalana (en adelante ANC). La inscripción la realizó con el mail “***EMAIL.1” en fecha 22 de noviembre de 2016 a través de la plataforma Eventbrite. Apotan captura de pantalla de la inscripción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 2.En relación al detalle de los datos de la reclamante que han sido objeto de tratamiento. Los datos de Dña. A.A.A. que han sido objeto de tratamiento por parte de la ANC han sido: Nombre, primer apellido y correo electrónico. Que son los datos que facilitó al inscribirse en el evento y sobre los que posteriormente consintió el envío de boletines por la ANC. Los datos de Dña. A.A.A. no han sido cedidos por ningún tercero, pues el evento fue creado por la propia ANC y posteriormente ella misma consintió el envío de boletines sobre futuros eventos. 3.En relación al consentimiento de la titular de la citada dirección para la recepción de correos de la ANC manifiesta que allí donde realiza eventos informa a los asistentes si desean o no, recibir información y boletines sobre futuros actos. Los asistentes que consienten dicho envío lo manifiestan verbalmente, al ser muy complejo hacerlo por escrito, para no colapsar el control de acceso al evento, ya que asisten muchas personas. Una vez obtenido el consentimiento, posteriormente se introducen los datos en una lista para el envío de los boletines informativos. En fecha 6 de diciembre de 2016, fecha en la que tuvo lugar el evento “El Candado Constitucional”, Dña. A.A.A. dio su consentimiento, por lo que desde el día 8 de diciembre de 2016, fecha en la que se introdujeron sus datos, hasta el día 27 de mayo de 2019, fecha en la que se le dio de baja por parte de la ANC, estuvo recibiendo boletines. En ningún momento durante el tiempo que estuvo recibiendo boletines, comunicó su voluntad de dejar de recibirlos, cuando en todo momento tuvo oportunidad para hacerlo o podía darse de baja ella misma clicando el enlace para darse de baja que aparece en el pie de todos los correos que se le han enviado. En fecha 23 de agosto de 2017 ella misma volvió a suscribirse a uno de los eventos sobre los cuales había recibido información. Con motivo de la aplicación efectiva del RGPD, en fecha 30 de mayo de 2018 desde la ANC se envió un correo electrónico a todos los usuarios, con el objeto de informarles que el nuevo Reglamento europeo de protección de datos, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas (en adelante RGPD) en lo que respecta al tratamiento de datos personales, ya era de plena efectividad y en base a él y cumpliendo con la normativa, se les informaba que la ANC aunque contaba ya con su consentimiento para el tratamiento de sus datos, se les recordaba que podían retirarlo en cualquier momento. Esta comunicación fue enviada también al correo “***EMAIL.1” por lo que Dña. A.A.A., tuvo la posibilidad de comunicar a la ANC su voluntad de no seguir recibiendo boletines y no consta que lo hiciera. La ANC nunca recibió ningún comunicado de baja ni ninguna queja por parte de la Dña. A.A.A. en relación al envío de los boletines que estaba recibiendo, dispuso de muchas ocasiones para comunicar su disconformidad o su deseo de no recibir información por parte de la ANC, algo que nunca comunicó. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 En cuanto la ANC recibió el primer requerimiento de la AEPD, en fecha 27 de mayo de 2019, se procedió inmediatamente a suprimir su correo electrónico “***EMAIL.1” de la lista de distribución. El requerimiento recibido en fecha 27 de mayo de 2019 fue la primera y única comunicación que recibió la ANC por parte de Dña. A.A.A., indicando su voluntad de no recibir más boletines informativos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Con carácter previo al análisis de la adecuación la normativa de protección de datos de carácter personal es preciso abordar el elemento temporal en el que suceden los hechos objeto de investigación. El último tratamiento realizado objeto de la presente reclamación es de febrero del año
  2. El RGPD establece en su artículo 99 bajo la rúbrica “Entrada en vigor y aplicación “lo siguiente:
  3. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
  4. Será aplicable a partir del 25 de mayo de
  5. Por lo tanto, los hechos que motivan el inicio de las presentes actuaciones de investigación y por tanto el objeto de análisis en el presente procedimiento se producen antes de la plena aplicación del RGPD y por tanto la adecuación a la normativa aplicable debe referenciarse respecto de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD en lo sucesivo). III El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el supuesto que nos ocupa, tras la documentación aportada, se constata que recibió más de 40 mensajes entre septiembre de 2016 y febrero de
  6. Es de destacar que la reclamante dio su consentimiento, señalando que en ningún momento durante el tiempo que estuvo recibiendo boletines, comunicó su voluntad de dejar de recibirlos, cuando en todo momento tuvo oportunidad para hacerlo o podía darse de baja ella misma clicando el enlace para darse de baja que aparece en el pie de todos los correos que le han enviado. En fecha 23 de agosto de 2017 la reclamante volvió a suscribirse a uno de los eventos sobre los cuales había recibido información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Finalmente, en cuanto la ANC recibió el primer requerimiento de la AEPD, en fecha 27 de mayo de 2019, procedieron inmediatamente a suprimir su correo electrónico “***EMAIL.1” de la lista de distribución. Todo ello revela que concurre una modalidad de consentimiento que legítima el tratamiento de los datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.