E-08042-2014

1/9 Expediente Nº: E/08042/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad BALDIN SOLUTIONS, S.L., y en consideración a los siguientes HECHOS PRIMERO: Con fecha 23/12/2014 el Director de la Agencia Española de Protección de Datos (AEPD), en el marco de la resolución dictada en el RR/632/2014, que desestimó el recurso interpuesto por D.ª B.B.B.. contra la resolución de archivo de su denuncia recaída en el E/07426/2014, acordó que la AEPD procediera de oficio a analizar la adecuación a la normativa reguladora del derecho fundamental a la protección de datos de carácter personal de los tratamientos que se efectúan en el sitio web www.rememori.com. SEGUNDO: En cumplimiento de lo acordado por el Director de la AEPD, la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación cuyas conclusiones se recogen en el Informe que se reproduce: << A.A.A. 1. Mediante diligencia de fecha 22/04/2015 se comprueba que: a. En la web www.rememori.com quien lo desee puede publicar una esquela. Durante el proceso de publicación de una esquela se solicitan los datos del difunto, así como de la persona que solicita la publicación. b. Igualmente se ofrece la posibilidad de dar las condolencias a los familiares de los difuntos, recabándose el nombre, dirección de correo electrónico y un mensaje. c. Al pie de las páginas aparece un link a una página en la que se exponen las condiciones legales, en donde aparece: <<De conformidad con lo establecido por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), REMEMORI como titular del Sitio Web, informa al usuario de la existencia de ficheros de datos de carácter personal creado por éste y bajo su responsabilidad… Si el usuario decide registrarse en Rememori.com (tanto empresa como particular), se solicitarán los datos estrictamente necesarios para la consecución del fin al cual está destinada nuestro sitio web, que no es otro que el de facilitar un espacio dedicado a las personas fallecidas donde los usuarios podrán publicar información, datos y/o contenidos de los difuntos y facilitar servicios relacionados con éstos. A tales efectos se requerirá a los usuarios la cumplimentación de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 formulario y la inclusión de sus datos personales. Su tratamiento estará enfocado únicamente a la consecución de estos fines, siempre dentro del marco normativo establecido. Los datos que nos facilite el usuario serán incorporados a un fichero de datos personales, que se halla debidamente inscrito en la Agencia de Protección de Datos. Asimismo, aquellos datos personales que el usuario haya facilitado al insertar contenido para enriquecer el homenaje de una persona fallecida, serán cedidos al propietario del homenaje, quien previamente validará el contenido para su publicación.>> 2. De la información y documentación aportada por la entidad investigada se desprende: a. La información que nutre la base de datos de esquelas se obtiene, principalmente, a través de entidades colaboradoras (principalmente, funerarias) y de los medios de comunicación; y consiste, como es evidente, en los datos de personas fallecidas, que se encuentran fuera del ámbito de aplicación de la LOPD. b. BALDIN es titular del servicio Rememori a raíz de un contrato de compraventa de activos, celebrado el 23 de julio de 2014 y elevado a público ante notario (se hace constar que el contrato tiene la consideración de información confidencialidad). Aporta copia de la escritura, de la que destaca: <<… las sociedades intervinientes han suscrito mediante documento privado, un contrato de compraventa de Activos, por el que “ESQUELAS ONLINE, S.L.,” cede y transmite a “BALDINSOLUTIONS, S.L. ‘ que adquiere, los activos, “know how”, propiedad industrial (dominios, marcas, ...), propiedad intelectual (licencias informáticas, software), bases de datos, tecnología y/o plataformas tecnológicas, necesarios para el desarrollo y explotación de contenidos relacionados con servicios funerarios, así como la publicación de esquelas, necrológicas y obituarios a través de la red de Internet o cualquier medio digital, … 5.6. - Protección de datos personales: El vendedor es titular de dos ficheros denominados “USUARIOS” y “CUENTES Y PROVEEDORES”, inscritos en el Registro General de Protección de Datos con los códigos ***CÓD.1 y ***CÓD.2 respectivamente, que tienen por finalidad la gestión de los datos de los usuarios que utilizan la web www.rememori.com y ¡a gestión de los dientes y proveedores, respectivamente. El presente documento implica una modificación en el responsable de dichos ficheros, que pasará a ser el Comprador.”>> Mediante diligencia de consulta al Registro General de Protección de Datos se comprueba que dichos ficheros ya figura a nombre de BALDIN. c. El fichero “USUARIOS” contiene 120.789 registros y “CLIENTES Y PROVEEDORES” contiene 10.723 registros. el de Informa la entidad que la actividad de ambos se inició en enero de 2009, antes de la adquisición de Rememori.com por BALDIN. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 d. Los datos de usuarios se obtienen a través del formulario de registro del sitio web, accesible a través de la URL http://www.rememori.com/registro, en donde los únicos datos que se solicitan son el nombre, el correo electrónico y el número de teléfono móvil. Además, el formulario incorpora dos casillas, que no se encuentran premarcadas: la primera permite suscribirse al newsletter de la empresa, y la segunda manifiesta la aceptación del aviso legal, accesible a través de la URL http://www.rememori.com/pagina/legal, y que incluye la “Política de Protección de Datos”. Cuando un usuario rellena el formulario, se le remite un correo electrónico a la dirección facilitada, con un enlace que es necesario pulsar para activar la cuenta. Una vez activada, el usuario puede acceder a su área privada, donde se le permite modificar sus datos personales, o incluso darse de baja del servicio, a través de la opción “Edita tu perfil”. e. El consentimiento de los usuarios se desprende de la aportación voluntaria de sus datos, de la aceptación de la política de protección de datos, así como de la activación de la cuenta a través del correo electrónico recibido. f. La información de cumplimiento del art. 5 de la LOPD se facilita a través de la página legal, que incluye la “Política de Protección de Datos>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Debemos comenzar señalando cuál es el marco normativo en el que ha de valorarse el tratamiento de datos de carácter personal que efectúa la página web rememori. El ámbito de aplicación de la LOPD se delimita en su artículo 2 el cual dispone en el apartado 1 que “será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado….”. (El subrayado es de la AEPD). A su vez, el artículo 3.a, del mismo texto legal define “Datos de carácter personal” como “cualquier información concerniente a personas físicas identificadas o identificables”. (El subrayado es de la AEPD). Por su parte, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por el Real Decreto 1720/2007, se ocupa en el artículo 2 del “Ámbito objetivo de aplicación” y dispone que “4. Este reglamento no será de aplicación a los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos”. (El subrayado es de la AEPD). El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 3
2. h)de la Ley Orgánica 15/1999 define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El “Derecho de información en la recogida de datos” se regula en el artículo 5 de la Ley Orgánica 15/1999, que establece: “ 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (…) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
8. c)y
9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…).” (El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 subrayado es de la AEPD) Finalmente, el artículo 26 de la LOPD de la “Notificación e inscripción registral” señala: “ 1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.” III BALDIN SOLUTIONS, S.L., (en lo sucesivo, BALDIN) es titular del servicio de la sociedad de la información “Rememori”, accesible a través de la dirección electrónica www.remomori.com, desde el 23/07/2014, fecha del otorgamiento de la Escritura Pública de compraventa de activos entre Esquelas Online, S.L. (antiguo titular) y BALDIN. La empresa a la que pertenece el sitio web se refiere a él como “un portal especializado en la publicación y consulta de esquelas, con una doble función: permitir a los usuarios de Internet obtener información acerca del óbito y las exequias de cualquier conocido y servir de espacio de homenaje y recuerdo de las personas fallecidas”. Este sitio web contiene dos apartados relevantes a los efectos que nos ocupan, “Esquelas” y “Homenajes”, a los que se accede a través de sus respectivas pestañas. El primero de ellos ofrece una relación de todas las personas fallecidas, con indicación del nombre, dos apellidos, fecha de defunción, localidad en la que se produjo el óbito, tanatorio en el que se encuentra el difunto y en su caso número de sala del tanatorio. En ocasiones, también, fecha, hora y lugar de servicios religiosos que se celebren en su memoria. A través de este apartado es posible enviar condolencias respecto a la persona fallecida que se desee. Para ello es necesario darse de alta como usuario, debiendo facilitar el nombre, apellidos, número de teléfono y dirección electrónica y consentir la política de privacidad. Desde la segunda pestaña, “Homenajes”, se ofrece a quien lo desee la opción de abrir una página de homenaje a un difunto. Para ello bastará con acceder al listado de fallecidos y marcar quién es el destinatario de su homenaje. El “propietario” del homenaje (expresión que se emplea en las Condiciones Legales del sitio web) deberá, asimismo, darse de alta como usuario, facilitar los datos anteriormente indicados y consentir la política de privacidad. Una vez creado el “homenaje” cualquier persona que lo desee, dándose previamente de alta como usuario, podrá sumarse a éste y ofrecer sus condolencias al “propietario” del homenaje, incluir comentarios y fotos. Un examen del tratamiento de datos que efectúa la página web rememori exige destacar que, a través de ella, se tratan datos de personas fallecidas y de personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 A. Por lo que respecta a las personas fallecidas, sus datos no tienen la naturaleza de datos de carácter personal, de forma que su tratamiento queda excluido del ámbito de aplicación de la LOPD. Así se desprende del artículo 2.1 de la LOPD -anteriormente trascrito- en conexión con el artículo 3.a, del mismo texto legal que define los datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. Precepto que, a su vez, deben ponerse en relación con el artículo 32 del Código Civil español que establece que “La personalidad civil se extingue por la muerte de las personas”. Por ello, dado que el derecho fundamental a la protección de datos de carácter personal reconocido en el artículo 18.2 de la Constitución Española tiene naturaleza de derecho personalísimo, extinguiéndose la personalidad civil por la muerte, hay que concluir que las personas fallecidas no son titulares de este derecho fundamental. Es evidente que en la página web de BALDIN se tratan datos de personas fallecidas pues contiene una relación de todos los fallecidos organizados por la localidad de defunción y la fecha de fallecimiento con indicación del nombre y dos apellidos, nombre del tanatorio y, en su caso, número de sala en la que se encuentra. Las dudas que sobre la adecuación o no a la LOPD pudiera plantear la publicación de los datos precitados asociados a una persona fallecida quedaron despejadas tanto a raíz del el Informe Jurídico de la AEPD 365/2006 como del Reglamento de desarrollo de la Ley Orgánica. El Informe 365/2006 relativo al “Tratamiento y cesión de datos de personas fallecidas” se pronunció en los siguientes términos: “(…) se plantea la posibilidad de facilitar los datos de nombre y edad de las personas fallecidas a los medios de comunicación local, a través de tablones informativos en los accesos a las instalaciones del tanatorio, o bien acceder a estos datos a través de una página web, para poner en conocimiento de las personas interesadas el lugar de instalación del velatorio o de la fecha u hora de los actos previstos con ocasión de los fallecimientos. (…) es evidente que dicho derecho desaparece por la muerte de las personas, por lo que los tratamientos de datos de personas fallecidas no podrían considerarse comprendidos dentro del ámbito de aplicación de la Ley Orgánica 15/1999. (…) Por este motivo, los supuestos a los que se refiere la consulta, no se encontrarían en principio, sometidos al régimen previsto en la Ley Orgánica 15/1999, al referirse exclusivamente a personas fallecidas y en consecuencia desde el punto de vista de la normativa de protección de datos personales, no existe inconveniente a las comunicaciones de datos planteadas”. (El subrayado es de la AEPD) Por su parte, el RLOPD estable con claridad en el artículo 2.4, transcrito en el Fundamento anterior, que “Este reglamento no será de aplicación a los datos referidos a personas fallecidas (..) B. A través del sitio web de rememori se tratan datos de carácter personal (en el sentido en que éstos se definen en el artículo 3.a de la LOPD). Datos a los que pueden tener acceso terceras personas a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 citada página. Pues bien, los datos objeto de tratamiento son, por una parte, los de las personas registradas como usuarios – bien porque deseen presentar su condolencias por un fallecimiento o bien porque decidan crear un “homenaje” a un fallecido- y los de terceras personas distintas de las anteriores y del fallecido, que son facilitados por los usuarios dados de alta al incluirlos en sus comentarios o incorporar fotografías de estos terceros. Las Condiciones Legales de la página web www.rememori.com incluyen las “Condiciones Generales de uso del portal” en cuyo punto 1 se indica que “El acceso a y/o uso del sitio web REMEMORI.COM (…) atribuye a quien lo realiza la condición de USUARIO. Todo USUARIO acepta, desde el mismo momento en que accede, sin ningún tipo de reserva, el contenido de las presentes “Condiciones Generales de uso”, la “Política de Privacidad”, así como, en su caso, las “Condiciones Particulares” que puedan complementarlas, sustituirlas o modificarlas…” La página web que nos ocupa incluye un formulario de recogida de datos en el que se solicita a la persona que desea registrarse su nombre y dos apellidos, email y móvil. Además, este formulario contiene dos casillas no premarcadas: una de ellas es una aceptación de las Condiciones Legales. La segunda permite suscribirse a la newsletter. Al marcar la casilla que dice “He leído y acepto las Condiciones Legales” y cumplimentar el formulario se entiende otorgado el consentimiento del usuario para que sus datos personales sean tratados por el responsable del fichero, BALDIN. El consentimiento al tratamiento de los datos personales de los usuarios es además de informado, libre. El punto 4 de la Política de Privacidad de las Condiciones Generales bajo la rúbrica “consentimiento del Usuario” indica que “Al rellenar el formulario y hacer clic para enviar los datos, el usuario manifiesta haber leído y aceptado expresamente la presente política de privacidad y las condiciones de uso, y otorga su consentimiento inequívoco y expreso al tratamiento de sus datos personales conforme a las finalidades informadas y servicios que presta REMEMORI. Asimismo, el Usuario consiente que en el momento de registrarse, sus contenidos serán visibles públicamente para el resto de usuarios en REMEMORI así como en los diversos buscadores de Internet”. Respecto al deber de información, señalar que la lectura de las Condiciones Generales de uso del portal permite comprobar que en ellas se informa de todos los aspectos que menciona el artículo 5 de la LOPD. El punto 4, “Política de protección de datos”, indica