E-07917-2013

1/6 Expediente Nº: E/07917/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CLABERE NEGOCIOS S.L., (con nombre comercial BANKIMIA), en virtud de denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 05/12/2013, ha tenido entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta haber recibido el 27/11/2013 un correo electrónico de CLABERE NEGOCIOS S.L.,(en lo sucesivo BANKIMIA o la denunciada) sin su consentimiento. Añade que jamás ha visitado el portal de BANKIMIA, ni siquiera después de recibir su correo, por lo que considera que sus datos se “obtuvieron de forma ilícita o por suplantación de personalidad”. El denunciante dice textualmente que el correo de la denunciada “fue enviado a mi cuenta .......@GMAIL.COM”. Señala que en su comunicación electrónica la denunciada alegaba que había intentado comunicar con él telefónicamente, sin éxito, en relación a una supuesta solicitud de préstamo, y que si bien contactó con ella para que diera de baja sus datos le respondido que debía facilitarles el número de teléfono como condición para que cursara la baja. Adjunta con la denuncia copia de tres correos electrónicos. El primero de ellos, el que recibió de BANKIMIA el 27/11/2013, iba dirigido a la siguiente dirección electrónica: .......@GMAIL.COM. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a efectuar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de de Actuaciones Previas de Investigación que pasamos a reproducir: <<ACTUACIONES PREVIAS 1. En fecha de 14/2/2014 se solicita a TELEFONICA DE ESPAÑA los datos identificativos de la dirección IP ***IP.1 del día 29/11/2013 a las 12:38:20 +0100 horas, momento en el que se remitió el correo denunciado, recibiéndose respuesta en fecha de 25/2/2014 en la que se identificó a la sociedad CABLERE NEGOCIOS, SL. 2. En fecha de 7/4/2014 se realiza una inspección a CABLERE NEGOCIOS, SL entidad que opera bajo la marca BANKIMA obteniéndose la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 2.1. BANKIMIA tiene por objeto social la promoción de productos financieros comercializados por terceros, para ello dispone de un portal web (www.bankimia.com) en el que realiza labores de comparador de productos financieros. 2.2. A través de la página www.bankimia.com es posible obtener información de productos financieros a partir de unos datos básicos que han de ser facilitados por el cliente y entre los que se encuentran: tipo de crédito, nombre y apellidos, dirección de correo electrónico, teléfono, cuantía del préstamo de interés, ingresos, etc. 2.3. A partir de la información anterior BANKIMIA ofrece al cliente las ofertas de productos de entidades financieras que mejor se adaptan a lo solicitado por éste y en caso de que el cliente se decante por una de ellas, BANKIMIA se limita a derivar al cliente a la entidad financiera seleccionada. 2.4. BANKIMIA en ningún momento ofrece productos financieros propios ya que no es una entidad financiera. 2.5. Durante la inspección se realizaron las siguientes comprobaciones en los sistemas informáticos de la entidad: 2.5.1.Se comprueba la no existencia de datos asociados a la dirección de correo .......@GMAIL.COM. 2.5.2.Se comprueba la existencia de datos asociados a la dirección de correo .......@gmail.com. De los datos asociados se desprende lo siguiente: Una persona que se identificó con el nombre de B.B.B. se dio de alta a través del formulario de la página web www.bankimia.com en fecha de 26/11/2013 a las 15:22:46 desde la dirección IP ***IP.2 facilitando el número de teléfono ***TEL.1 e interesándose por el producto TARJETA CITI. Consta también que dicho registro se dio de baja a efectos de publicidad en fecha de 10.12.2013. 2.5.3.Se consulta el fichero histórico de contactos de clientes al que se accede por la dirección de correo .......@gmail.com y .......@GMAIL.COM comprobándose que existen una serie de correos electrónicos intercambiados entre la dirección .......@GMAIL.COM y la dirección .......@bankimia.com con el siguiente detalle: 2.5.3.1.Correo electrónico de fecha 28/11/2013 de .......@GMAIL.COM a .......@bankimia.com. En dicho correo se niega haber solicitado información sobre préstamos ni haber facilitado dato alguno en página web www.bankimia.com. Se solicita que le den de baja. 2.5.3.2.Correo electrónico de fecha 29/11/2013 de .......@bankimia.com a .......@GMAIL.COM. Manifiestan que solicitó un préstamo a través de su comparador el día 26/11/2013 a las 15:22:45. Requieren el número de teléfono mediante el que se solicitó el préstamo para proceder a la baja. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 2.6. A tenor de la información anterior el representante de BANKIMIA manifiesta que ante la solicitud de baja referida en el punto 2.5.3.1, y dado que ésta se realizaba desde la dirección de correo .......@GMAIL.COM, no registrada en su fichero de clientes y diferente de la dirección a la que se había remitido la información, .......@gmail.com, se solicitó información adicional para acreditar la autenticidad de la solicitud de baja. En este caso se solicitó el número de teléfono facilitado en el momento del alta. Finalmente se procedió a la baja de la dirección que figuraba en el fichero de clientes .......@gmail.com>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. a)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD. II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del titular o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento del titular constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7, primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. La LOPD ofrece en su artículo 3.
2. h)una definición legal de consentimiento como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. La Ley Orgánica no exige que el consentimiento del titular de los datos revista una forma determinada, pudiendo otorgarse de forma expresa e incluso presunta, pero sí se requiere que sea inequívoco; esto es, que no admita duda o equivocación. III En el presente caso, a tenor de la documentación que el denunciante remitió a la AEPD con su escrito de denuncia, ha quedado acreditado que BAKIMIA le envió una comunicación en la que le indicaba que había intentado ponerse en contacto con él con motivo de una solicitud de información que realizó en www.bankimia.com referente a un préstamo. Respecto al correo electrónico que el denunciante recibió de BANKIMIA -correo electrónico que ha dado origen a esta denuncia- es especialmente relevante destacar que la dirección electrónica a la que se hizo el envío (como lo prueba la copia del correo electrónico que el denunciante aporta) fue la siguiente: .......@gmail.com. Esto significa que, en contra de lo que el denunciante afirma, la dirección electrónica a la que BANKIMIA dirigió ese mensaje electrónico no era .......@GMAIL.COM, pues no incluía un punto entre “XXXX” y “YYY”. La inspección efectuada por la AEPD en BANKIMIA confirmó que no existían datos de usuarios asociados a la dirección de correo .......@GMAIL.COM. No obstante, los inspectores de la AEPD verificaron que sí existían datos de usuarios asociados a la siguiente dirección: .......@gmail.com. Que es, precisamente, la dirección electrónica a la que BANKIMIA envió el correo electrónico que ha motivado esta denuncia. Se comprueba, asimismo, que desde la dirección IP ***IP.2, el día 26/11/2013, a las 15:22 horas –un día antes de que el denunciante recibiera la comunicación sobre la que versa su denuncia- consta un alta en la página web www.bankimia.com . La documentación recabada durante la inspección practicada demuestra que la persona que cumplimentó el boletín de alta en la citada página web se interesó por el producto “Tarjeta Citi” y facilitó los siguientes datos: la dirección electrónica .......@gmail.com; el nombre de B.B.B. y el número de teléfono ***TEL.1. Igualmente se verifica que en el fichero histórico de clientes al que se accede a través de esa dirección electrónica (.......@gmail.com) existe referencia a la dirección .......@GMAIL.COM., desde la que se intercambiaron correos electrónicos con .......@bankimia.com De lo expuesto se concluye que el tratamiento que BANKIMIA ha hecho de la dirección electrónica .......@gmail.com , tratamiento materializado en el envío de un correo electrónico el 27/11/2013, es plenamente legítimo y no vulnera la LOPD, pues el tratamiento está amparado en el consentimiento otorgado por quien gestionó el alta en la página web www.bankimia.com, al haberlo facilitado cuando cumplimentó el boletín de alta (artículo 6.1 LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 La inspección practicada en la sede de BANKIMIA permite afirmar que, en el presente caso, la denunciada ha obrado con diligencia, pues ha seguido en la gestión del alta del usuario a través de su página web un protocolo correcto encaminado a acreditar la identidad de la persona que solicita la información de un producto y, al tiempo, consiente –toda vez que los facilita voluntariamente- que se traten los datos que facilita como suyos a través de la cumplimentación del boletín de alta. Esta circunstancia dota al consentimiento otorgado para tratar los datos con los que el usuario se registra una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad, cuya concurrencia es necesaria para que pueda exigirse responsabilidad en el marco del Derecho Administrativo sancionador. En consecuencia, no cabe apreciar culpabilidad alguna en la actuación de BANKIMIA, que trató los datos personales del usuario que se dio de alta el 26/11/2013 en su página web en la creencia de que esa persona era quien decía ser y era el titular de los datos que facilitó como suyos, entre ellos, y por lo que aquí interesa, la dirección electrónica .......@gmail.com Muy esclarecedora es, en este sentido, la SAN de 26 de abril de 2002 (Rec 895/20009 en la que la Audiencia expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la Agencia) A tenor de las reflexiones precedentes no se advierte incumplimiento alguno de la normativa de protección de datos del que BANKIMIA deba responder, pues la documentación que obra en el expediente evidencia que la denunciada actuó con la diligencia que era procedente, la diligencia que las circunstancias del caso y el desarrollo de su actividad profesional aconsejan, lo que excluye la presencia del elemento subjetivo de la infracción. En consecuencia, a la luz de la documentación que obra en el expediente, procede el archivo de las presentes actuaciones previas de investigación toda vez que la conducta de la denunciada, BANKIMIA, fue respetuosa con las disposiciones de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a CLABERE NEGOCIOS, S.L., (BANKIMIA) y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es