1/5 Expediente Nº: E/07608/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por A.A.A., B.B.B. relativo a la ejecución del requerimiento de la resolución de referencia R/03201/2015 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00237/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00237/2015, a instancia de C.C.C., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción de los artículo 6 y 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y 21 de la Ley de los Servicios de la Sociedad de la Información ( LSSI en adelante). Dicho procedimiento concluyó mediante resolución R/03201/2015, de fecha 14 de diciembre de 2015 por la que se resolvía: (…) SEGUNDO.- REQUERIR A B.B.B. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 11 de la LOPD para lo que se insta a la denunciada a que adopte medidas que impidan que en el futuro se den circunstancias como las analizadas en el presente caso, en concreto, que se establezca un sistema que evite la cesión de los datos de la denunciante a terceros sin contar con su consentimiento previo. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. (…) CUARTO.- REQUERIR A A.A.A. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, y en el artículo 39 bis.2 de la LSSI para que en el plazo de UN MES desde la notificación de la presente resolución. 4.1 CUMPLA lo previsto en el artículo 6 de la LOPD para lo que se insta a la denunciada a que adopte medidas para el cese en el tratamiento de los datos de la denunciante y de cualquier otro dato de carácter personal cuyo origen sea una cesión ilegal de datos, mediante el borrado de los mismos que tengan dicho origen o que no tenga el consentimiento. Asimismo para que, en caso de acciones publicitarias por SMS o cualquier medio electrónico, se verifique el consentimiento de los destinatarios o el origen de los datos que permitan dichos envíos, así como la instauración en el diseño de las comunicaciones comerciales del ofrecimiento de un medio sencillo y gratuito para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 oponerse en cada una de ellas. 4.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/07608/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. (…) SEGUNDO: Con motivo de lo instado en la resolución, las denunciadas remitieron a esta Agencia con fechas de entrada 15 y 22 de enero de 2016 escrito en el que informaba a esta Agencia, por parte de A.A.A.( ENC en adelante) que ha eliminado los datos de la denunciante así como el cese de su actividad. Respecto de B.B.B. (NMR en adelante), que ha instaurado un sistema de información en el que informa de la finalidad del tratamiento en la recogida de datos evitando así la cesión de datos a terceros sin consentimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II En los Fundamentos de Derecho II, III y V de la Resolución R/03201/2015, se hacía constar lo siguiente: (…) II En el presente caso se imputa la comisión de la infracción prevista en el art. 44.3
- k)de la LOPD tipificada como grave que señala que: La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. El artículo que se estima vulnerado es el 11.1 de la LOPD que señala que: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. NMR ha reconocido los hechos que se imputan, en concreto que comunico los datos de la denunciante a ENC cuyo origen era la proporción voluntaria de la denunciante. En este sentido debe señalarse que el tratamiento de datos que realiza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 NMR puede estar amparado en el art. 6.2 de la LOPD en la medida en que la denunciante podía haber sido cliente de NMR y de ahí la legitimación para el tratamiento. Cuestión distinta es el consentimiento para la cesión o comunicación de datos a terceros, es decir, a ENC que constituye la comisión de la infracción por parte de NMR que no ha acreditado el consentimiento de la denunciante para tal comunicación. III Teniendo en cuenta lo anterior ENC no está legitimada para tratar los datos de la denunciante, pues el origen en su fichero no es otro que la cesión ilegal antes expuesta. En concreto se imputa a ENC la comisión de la infracción prevista en el artículo 44.3
- d)de la LOPD, que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. El artículo que se estima vulnerado es el 6 de la LOPD, que señala que 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. La mera tenencia de los datos personales de la denunciante en un fichero titularidad de ENC se considera tratamiento, que según el artículo 5.1.
- t)del RLOPD lo define como "cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias “ Los datos objeto de tratamiento por parte de ENC fueron facilitados, según manifestaciones de ambas denunciadas, al centro de NMR y no a ENC por lo que esta no tiene legitimación para su tratamiento. (…) En concreto respecto de la denunciada NMR se requiere que adopte medidas que impidan que en el futuro se den circunstancias como las analizadas en el presente caso, en concreto, que se establezca un sistema de que evite la cesión de los datos de la denunciante a terceros sin contar con su consentimiento previo. Respecto de ENC se requiere que se abstenga del tratamiento de los datos de la denunciante y de cualquier otro dato de carácter personal cuyo origen sea una cesión ilegal de datos, mediante el borrado de los mismos que tengan dicho origen o que no tenga el consentimiento. (…) V Por otro lado, además se imputa a ENC la comisión de la infracción prevista en el art. 38.4
- d)de la LSSI, que considera infracción leve: el envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente no cumpla los requisitos establecidos en el mencionado artículo 21 y no constituyan infracción grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 El citado art. 21 de la LSSI dispone que: “Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.”, En el presente caso ENC no ha acreditado ningún supuesto que permite el envío de comunicaciones comerciales por medios electrónicos, es decir, ni tiene autorización previa y expresa de la denunciante para que ENC remita publicidad, ni ha tenido la denunciante y ENC una relación comercial previa, y ni el origen de los datos es licito, sino que es consecuencia de la comisión de las infracciones a la LOPD antes señaladas. Por otra parte, en el envío objeto de análisis tampoco consta cumplido el mandato del artículo referido a los medios de oposición que se han de ofrecer en cada comunicación comercial que se remita por medios electrónicos. En el SMS objeto de análisis no consta ningún medio de oposición. (…) III En supuesto presente, del examen de las medidas adoptadas por las personas apercibidas se constata la adopción de medidas que eviten la producción de hechos similares a los analizados en el procedimiento A/00237/2015 ya que ENC ha cesado en la actividad y NMR ha adaptado la política de tratamiento de datos para informar de las finalidades del mismo que eviten cualquier tratamiento o comunicación sin el consentimiento de sus clientes. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A., y a B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es