1/9 Expediente Nº: E/06545/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BLAMBOS, S.L. en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26/09/2017, tuvo entrada en esta Agencia escrito de D. B.B.B. (en lo sucesivo el denunciante), en el que denuncia a BLAMBOS, S.L. (OI2) (en lo sucesivo BLAMBOS), por los siguientes hechos: El 23/05/2017, el denunciante realiza una visita a un Centro OI2 (nombre comercial de la empresa BLAMBOS) para una revisión en la que recabaron sus datos personales, no obstante, no solicitaron el consentimiento para la remisión de comunicaciones comerciales. Desde entonces ha recibido cartas con publicidad por lo que se ha dirigido vía correo electrónico a la dirección ***EMAIL.1, dirección que figura al pie de las cartas publicitarias, solicitando la cancelación de sus datos personales y la solicitud ha sido devuelta por el sistema. Que según el denunciante el envío aportado en la denuncia fue recibido en fecha 25/09/2017 Y, entre otra, anexa la siguiente documentación: Escrito publicitario de OI2 a nombre del denunciante y dirigido a un APARTADO DE CORREOS (C/...1). En el escrito se informa que los datos están incluidos en el fichero CAMPAÑAS inscrito en el RGPD con la finalidad de promocionar los servicios por cualquier medio de comunicación y figura una casilla para oponerse. También consta que deben dirigir el escrito al GRUPO OI2, A/A DPT RPOTECCION DE DATOS junto con una dirección postal de Barcelona o bien enviando un e-mail a ***EMAIL.1. Correo electrónico, de fecha 25 de septiembre de 2017, solicitando el borrado de los datos remitido por ***EMAIL.2 a la dirección ***EMAIL.1 Notificación de la devolución de correo al no encontrar la dirección de correo del destinatario. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 02/01/2018 se recibe contestación de BLAMBOS al requerimiento de información solicitado por la Inspección de Datos, del que se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 1. En los ficheros de BLAMBOS constan los datos personales de nombre y apellidos, domicilio postal, teléfono, fecha de nacimiento, sexo y con una marca que indica que “no quiere recibir mensajes SMS”. Como procedencia consta “Internet OI2” Asimismo figura “No admite correo”, lo cual, según manifiesta la entidad, hasta el 1 de diciembre de 2017 figuraba “admite correo” como resultado de la aceptación expresa de la política de Privacidad del Grupo IO2 a la que accedió en el momento de solicitar la cita en el Centro OI2. El 01/12/2017 se recibió la notificación del requerimiento de la Agencia Española de Protección de Datos en la que modificándose la situación del correo a “No admite correo”, bloqueándose además los datos para las aplicaciones de OI2. 2. Respecto del origen de los datos, BLAMBOS manifiesta que fueron facilitados por el denunciante en dos ocasiones: Al hacer la reserva de una cita on-line el día 15/05/2017 a través de la dirección web ***WEB.1, la cual obliga a aceptar la política de privacidad y protección de datos y a aportar los datos de: nombre y apellidos, email y teléfono. Una vez finalizada la reserva se remite un correo electrónico de confirmación al cliente y al Centro OI2 elegido se remite otro correo electrónico para el conocimiento de la cita solicitada por el cliente. BLAMBOS ha aportado copia del correo electrónico remitido al denunciante a la dirección de email ***EMAIL.2 en fecha 15/05/2017 a las 14:22 de confirmación de la cita. BLAMBOS ha aportado correo remitido al Centro OI2 de Tenerife en fecha 15/05/2017 a las 15:23 informando de la reserva de B.B.B. y registro de acceso certificado por la empresa SHORE DIGUTAL SOLUCTIONS que realiza la prestación de servicios para la gestión de la cita previa On-line de BLAMBOS, donde se pone de manifiesto la reserva realizada por el denunciante el 15/05/2017 a las 15:22. Desde la Inspección de Datos se ha acreditado que el formulario de cita previa disponible en la web, solicita los datos de: nombre, apellido, dirección de correo electrónico y teléfono así como aceptar los términos y condiciones legales y la política de privacidad del prestador de servicio. Durante la visita al centro, en fecha 23/05/2017, donde facilitó el resto de los datos personales: segundo apellido, domicilio y fecha de nacimiento. BLAMBOS manifiesta que este procedimiento se realiza cuando un usuario realiza su primera visita a un centro OI2 con objeto de cumplimentar la ficha de usuario. Una vez cumplimentados los datos, se imprime un documento de Consentimiento a la recogida y cesión de datos personales el cual debe ser firmado en una tableta electrónica garantizando la imposibilidad de manipulación posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 No obstante, BAMBLOS manifiesta que en el caso del denunciante y debido a problemas en la captura de la firma durante los meses de abril, mayo y junio de 2017, no se pudo proceder a la emisión y firma del documento de consentimiento mencionado quedando en situación de Pendiente de firma para su próxima visita al Centro al que no volvió a acudir. Desde la Inspección de Datos se ha verificado la existencia de un apartado relativo a la Política de Privacidad disponible en la web en la que figura: “Conforme a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) y a su normativa de desarrollo, le informamos que queda garantizada la seguridad y confidencialidad de los datos de carácter personal que se faciliten, los cuales pasan a formar parte del correspondiente fichero de datos de carácter personales titularidad de Oi2, todos ellos debidamente inscritos en el Registro General de Protección de Datos, para poder atender a las diferentes solicitudes y para que, de acuerdo con lo dispuesto en la LOPD y, la Ley 34/2002, de 11 de junio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, se realice el envío de información sobre nuestros productos y servicios a través de cualquier medio de comunicación electrónico o no. Así mismo, el usuario que facilita los datos de carácter personal, manifiesta y confirma que los datos proporcionados son ciertos y que es la persona autorizada para poder hacer uso de los mismos, eximiendo a Oi2 de cualquier daño y perjuicio que pueda sufrir debido a falta de veracidad de la información facilitada. La política de protección de datos de Oi2 le asegura, en todo caso, el ejercicio de los derechos de acceso, cancelación, rectificación u oposición que la Ley le reconoce, pudiéndolos ejercer previa acreditación de su identidad, enviándonos un e‐mail a ***EMAIL.3 o por correo postal a la dirección Oi2, a/a (C/...2)”. 3. En cuanto a la solicitud de cancelación, BLAMBOS ha aportado escrito de contestación al denunciante de fecha 13/12/2017 en el que le informan que han tenido conocimiento de la reclamación ante la Agencia Española de Protección de Datos y se ha procedido a la cancelación de sus datos personales. También le indican que el origen de los mismos fue la cita solicitada vía internet y los datos aportados en la visita presencial al Centro de OI2. En este mismo escrito le exponen que debido a un error tipográfico inserto en el texto legal de la publicidad su solicitud fue remitida a la dirección ***EMAIL.1 y no fue recibida en la empresa. En la política de privacidad de BLAMBOS consta como dirección de correo electrónico para los derechos ARCO ***EMAIL.3. BLAMBOS manifiesta que la dirección correcta es ***EMAIL.3. 4. Respecto del envío publicitario. BLAMBOS ha aportado contrato de prestación de servicios con TGB S.A. encargada de la personalización e impresión de la campaña y con FORMATO 3 S.L. encargada de la manipulación y puesta en correos de los sobres de la promoción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 BABLOS manifiesta que ninguna de ellas intervino en la selección de parámetros de los destinatarios. Los criterios de selección fueron elegidos por el Departamento de Marketing de BLAMBOS y correspondía a usuarios visitados y que no fueran miembros del club OI2. La extracción se realizó en fecha 25/05/2017 con un total de 24.426 registros y aporta imagen del programa utilizado por el Departamento de Marketing que contiene un resumen de la extracción realizada. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 5 de la LOPD establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. En el artículo 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en el que se establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Dicha infracción aparece tipificada como leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En el artículo 17.2 de la LOPD se determina en cuanto al “Procedimiento de oposición, acceso, rectificación o cancelación” que: “No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.” Y el artículo 24.3 del RLOPD establece en cuanto a las “Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición” que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 “El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado”. Por otra parte, el artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. IV En el presente caso, el afectado denuncia que como consecuencia de una visita a BLAMBOS (Centro 0I2) para una revisión comenzó a recibir cartas publicitarias y comerciales sin que le hubieran solicitado el consentimiento para ello por lo que se dirigió a la entidad vía e-mail solicitándole la cancelación de sus datos personales habiendo sido devuelta la solicitud por el sistema. En primer lugar, de la documentación aportada al expediente se desprende que en los ficheros de la entidad constan los datos personales del denunciante que fueron facilitados con ocasión de la solicitud de una cita previa a través de la web de la entidad, donde se aceptaban las condiciones legales y la política de privacidad del prestador de los servicios; en su visita al centro el denunciante facilitó el resto de sus datos manifestando la entidad que por problemas técnicos no se pudo proceder a la emisión y firma del documento de consentimiento quedando en situación de pendiente de firma. Asimismo, la entidad denunciada ha aportado el escrito dirigido al denunciante el 13/12/2017 informándole que habían tenido conocimiento de la reclamación presentada ante la AEPD y que habían procedido a la cancelación de sus datos personales informándole que el origen de los mismos se hallaba en la cita solicitada y los datos adicionales aportados en su visita al centro con motivo de la revisión. En dicho escrito informan igualmente que por un error inserto en el texto legal de la comunicación la solicitud de cancelación de datos fue remitida a una dirección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 distinta de la establecida, ***EMAIL.1, por lo que no pudo ser recibida, siendo la dirección de correo correcta ***EMAIL.3. Por los servicios de inspección de este organismo se ha verificado la existencia en la Política de privacidad disponible en la web de la empresa que el ejercicio de los derechos ARCO pueden ser ejercitados en la dirección anteriormente señalada. De lo que antecede se desprende que el denunciante ejercitó el derecho de cancelación de sus datos de carácter personal ante la entidad denunciada, si bien la dirección a la que envió la solicitud y que estaba insertada en el texto del escrito publicitario recibido, no era la correcta debido a un error tipográfico por lo que el correo electrónico remitido no llego a ser recepcionado en el buzón implantado por la denunciada para gestionar las incidencias relativas a los derechos ARCO; no obstante, habiendo tenido constancia del ejercicio del tal derecho en la fecha de recepción del requerimiento de información solicitado por los servicios del inspección de la AEPD el 30/11/2017, seguidamente tras hablar con el denunciante procedió a tramitar la cancelación de sus datos. Ha de señalarse que si bien nos hallaríamos ante una posible infracción a la LOPD, en el caso examinado concurren circunstancias especiales que atenúan su responsabilidad procediendo apercibir al responsable de la misma. No obstante, en congruencia con la naturaleza atribuida a la figura del apercibimiento –alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la Audiencia Nacional en numerosas sentencias concluye que cuando las medidas pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el archivo de las actuaciones. En este sentido, la sentencia de la A.N. de 29/11/2013 (Rec.455/2011), en su Fundamento de Derecho Sexto señala, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, que ”no constituye sanción” y que se trata de ”medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una potestad diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. Por todo ello, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la sentencia anterior deber acordarse el archivo de las actuaciones de investigación practicadas. En segundo lugar, por lo que se refiere al envío de la publicidad de productos propios del denunciado, convendría apreciar un interés legítimo del responsable del tratamiento en consonancia con lo dispuesto en el artículo 7
- f)de la Directiva que se pronuncia en términos similares a los recogidos en el artículo 6.
- f)del Reglamento. Ahora bien, en modo alguno puede estimarse que la utilización de los datos personales con fines de publicidad o mercadotecnia puede realizarse sin ninguna limitación y sin establecer garantías para el afectado. Esta misma cuestión ha sido analizada por el Gabinete Jurídico de la AEPD en su Informe número 0195/2017. Según este informe, la causa legitimadora contenida en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 el artículo 6.1
- f)del Reglamento UE 2016/679, en casos de tratamientos de datos para fines de mercadotecnia no realizados a través de medios electrónicos, a los que no es de aplicación la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y comercio electrónico (LSSI), puede ser apreciada cuando se traten datos personales de clientes de la entidad responsable y se publiciten productos y servicios similares a los que inicialmente fueron adquiridos o contratados por el mismo, teniendo en cuenta siempre, en el juicio de ponderación que procede realizar para determinar qué ha de considerarse “producto o servicio similar”, la expectativa razonable del cliente. Y añade que la ponderación “no operaría cuando se tratase de publicidad u oferta de productos o servicios que no guardan relación con la actividad de la entidad, sino que la acción publicitaria deriva de la existencia de un determinado acuerdo con el anunciante al que se refiriese la publicidad”. Por otra parte, señala el Informe reseñado que “la ponderación que acaba de realizarse sería aplicable a los supuestos en que el interesado mantuviera una relación con la entidad, sin afectar a aquéllos en que el cliente hubiese cesado en esa relación”. Y concluye que, “siempre partiendo de que las entidades darían pleno cumplimiento a sus obligaciones de transparencia, conforme a los artículos 13 y 14 del Reglamento general de protección de datos, estableciendo además un procedimiento sencillo para el ejercicio del derecho de oposición, cabría considerar que el tratamiento podría ampararse en el artículo 6.1
- f)del citado Reglamento cuando las acciones se llevasen a cabo por medios no electrónicos, el afectado siguiese siendo cliente de la entidad y los productos o servicios ofertados puedan considerarse “similares” a los contratados por el cliente”. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BLAMBOS, S.L. y B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es