E-07905-2021

1/5  Procedimiento Nº: E/07905/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 14/03/21, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “la parte reclamante”), en el que indicaba, entre otras, lo siguiente: “En la página web ***URL.1, existe un formulario de petición, bajo la denominación "RAPEAR NO ES DELITO. ¡ACTÚA PARA CAMBIAR EL CÓDIGO PENAL Y DEFIENDE LA LIBERTAD DE EXPRESIÓN!" en el que figura textualmente: "Al participar en esta acción aceptas la política de privacidad", no ofreciendo la posibilidad de otorgar el consentimiento de forma expresa y libre, ya que se trata de un consentimiento obligado y premarcado”. SEGUNDO: Con fecha 21/04/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 12/05/21, tuvo entrada en esta Agencia, escrito de contestación de la parte reclamada en la que, entre otras, indicaba: “Queremos hacer constar que Amnistía Internacional cuenta con un Delegado de Protección de Datos debidamente notificado y comunicado ante la Agencia Española de Protección de Datos e igualmente, dentro del apartado ¿Quién es el responsable del tratamiento de tus datos? de la política de privacidad del sitio web ***URL.2 se informa a los usuarios que acceden a la misma acerca de la existencia del DPO, así como los datos de contacto (***EMAIL.1), por si se quiere realizar o plantearle directamente cualquier consulta o reclamación con relación al uso de los datos personales que se recaban a través del citado sitio web. Sin embargo, no consta en dicho buzón ninguna reclamación como la que ha originado el presente procedimiento, ni consta la identidad del reclamante en la presente solicitud de información, por lo que no se ha podido indagar acerca de si el reclamante se ha puesto en contacto con nuestra organización a través de otra vía distinta para atender la reclamación planteada y tratar de darle respuesta en tal caso. No obstante, creemos que la reclamación recibida, en la que se indica que cuando un usuario desea firmar una campaña de apoyo a alguna causa, debe aceptar la política de privacidad, y el reclamante considera que se trata de "un consentimiento obligado y premarcado", se trata de un error que vamos a tratar de aclarar en el punto tercero del presente escrito. Por tanto, no podemos estimar la reclamación, teniendo en cuenta los aspectos que se expondrán más abajo en el presente escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Como se ha indicado anteriormente, ni en el presente procedimiento ni por otra vía, se tiene constancia de la identidad del reclamante, por lo que no se ha podido verificar si el mismo ha ejercitado alguno de los derechos planteados en los citados artículos 15 a 22 del RGPD ante nuestra organización. 3.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Los hechos que motivan la reclamación son los siguientes: En la página web ***URL.3, cuando un usuario desea firmar una campaña de apoyo a alguna causa (se facilita el enlace de una en concreto, pero se entiende que todas funcionan igual), debe aceptar la política de privacidad. El reclamante considera que se trata de "un consentimiento obligado y premarcado". En este sentido, y tal y como se informa en la política de privacidad del sitio web, Am nistía Internacional no recoge ningún dato personal sin el conocimiento de su titular. Si el usuario no completa el formulario con sus datos personales y clica el botón enviar, aceptando la política de privacidad, ni almacenaremos, ni enviaremos mensajes, ni usaremos los datos para ninguna finalidad, por lo tanto, en ningún caso entendemos que se trata de un consentimiento obligado. Creemos más bien que se trata de un consentimiento facilitado mediante un acto afirmativo claro (introducción de los datos personales en el formulario y marcación de la casilla “enviar”) que refleja una manifestación de voluntad libre, específica, informada e inequívoca (en la política de privacidad que el usuario acepta al marcar la casilla enviar se indica la identidad del responsable, la finalidad del tratamiento de los datos, la base jurídica que legitima cada tratamiento, así como la posibilidad de ejercer los derechos, etc.. para cumplir con los requerimientos de información y transparencia recogidos en el artículo 13 RGPD). La primera vez que el interesado se registra o introduce sus datos personales en el formulario, aparece una casilla específica de recogida de consentimiento adicional y diferenciado del resto de finalidades, para recibir información adicional de Amnistía Internacional por otros medios, por lo tanto, entendemos que no se trata de un consentimiento obligado y premarcado, sino que debe ser el propio interesado quien debe marcar la casilla habilitada al efecto. Se adjunta pantallazo de formulario de recogida de datos personales para la firma de campaña de apoyo a alguna causa. Únicamente en el caso de que el firmante de una ciber acción se hubiera registrado previamente y hubiera otorgado su consentimiento para recibir información adicional de Amnistía Internacional, marcando la casilla al efecto, podrá volver a firmar cualquier otra petición, sin necesidad de volver a marcar la citada casilla, sin perjuicio, en este caso, de poder ejercitar su derecho de oposición a cada comunicación adicional que se le dirija, tal y como se informa en la política de privacidad del sitio web. Queremos remarcar, por tanto, que el usuario debe introducir los datos personales en el formulario por primera vez, para que la casilla de recogida de consentimiento para recibir información adicional se active, y que en el caso de que ya se hubiera registrado y hubiese otorgado su consentimiento a recibir información adicional, podrá firmar otras peticiones, sin necesidad de volver a marcar la casilla. Creemos, por tanto, que este ha sido el error de interpretación que ha originado la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Consideramos que las medidas implantadas y debidamente adoptadas hasta la fecha, cumplen íntegramente con los requerimientos legales establecidos en la normativa de protección de datos, puesto que como se ha indicado en los puntos anteriores, no consideramos que la recogida de datos personales de los formularios de la web se realicen bajo un consentimiento obligado y premarcado, si bien nos ponemos a disposición de la Agencia y del reclamante para ampliar o resolver cualquier duda adicional que surja al respecto del funcionamiento de recogida y tratamiento de datos personales en nuestra organización. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 07/07/21, la Directoria de Agencia Española de Protección de Datos, y en aplicación del artículo 65 de la LOPDGDD, acordó admitir a trámite la reclamación presentada por la reclamante. QUINTO: Por parte de esta Agencia, se ha podido comprobar, con fecha 12/07/21, que la página web en cuestión, tiene las siguientes características aspectos de su “Política de Privacidad” con respecto al enlace denunciado: ***URL.1. a).- Respecto de la posibilidad de obtener datos personales de los usuarios de la web: - En la dirección web indicada se comprueba que se pueden recoger datos personales si el usuario desea adherirse a la petición que la Organización está desarrollando, teniendo que introducir el nombre, apellidos, dirección, teléfono y correo electrónico. - Existe el siguiente aviso dentro del formulario: “Al participar en esta acción aceptas la <<política de privacidad>>”. b).- Respecto de la información existente en la “Política de Privacidad”: A través del enlace existente en la parte inferior del formulario, <<política de privacidad>>, la web redirige a una nueva página, donde se proporciona información sobre, quién es el responsable del tratamiento de datos; los datos recabados; la finalidad y licitud del tratamiento; las operaciones que se realizan con los datos personales y el tiempo de su conservación; sobre el Delegado de Protección de datos y sobre el ejercicio de los derechos de los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 II Sobre el tratamiento de los datos personales y la política de privacidad en el enlace de la página web reclamada Esta Agencia ha podido comprobar que en la página web en cuestión, consultada el 07/07/21, se pueden obtener datos personales de los usuarios y que en su política de privacidad, además de hacer referencia a la legislación vigente, RGPD y LOPDGDD, se informa de quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos y plazo de conservación; la categorías de datos que se tratan; con quién comparten los datos personales; las decisiones automatizadas; la legitimación del tratamiento de los datos; sobre los derechos de los usuarios, cómo y dónde se pueden ejercitar y sobre las medidas de seguridad de la página web. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a titular de la página web reclamada AMNISTÍA INTERNACIONAL ESPAÑA y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es