E-09158-2018

1/6  Procedimiento Nº: E/09158/2018 907-141019 RESOLUCIÓN ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fechan 08/08/18 y 02/10/18, se reciben en esta Agencia, sendas reclamaciones denunciando que, como clientes de la DISTRIBUIDORA INTERNACIONAL DE ALIMENTACIÓN, S.A. (DIA SA.), habían recibido algunos “cupones descuento” donde, para poderlos canjear debían aceptar recibir publicidad comercial del grupo DIA. Los cupones incluían la siguiente leyenda: “CUPÓN INFORMATIVO: No es necesario seleccionarlo. Desde Club Dia queremos seguir beneficiándote con más descuentos. Para ello, con la utilización de cualquier cupón durante el mes de agosto de 2018, “aceptar recibir publicidad de socios comerciales del Grupo DIA, así como, se cedan tus datos a dichos terceros”. Gracias por confiar en el Club Dia y recuerda que en la web: ***URL.1 puedes registrarte, actualizar tus datos y consultar nuestra política de privacidad en cualquier momento” “HASTA EL 31/10/18 AHORRA CON EL CLUB DÍA” Desde el ClubDia queremos seguir beneficiándote con más descuentos. Para ello, con la utilización de este cupón, “ACEPTAS RECIBIR PUBLICIDAD DE DIA, (DISTRIBUIDORA INTERNACIONAL DE ALIMENTACIÓN S.A.), SUS FILIALES Y PARTICIPADAS DE PRODUCTOS Y SERVICIOS, INCLUIDOS LOS FINANCIEROS, OFRECIDOS EN TIENDAS Y ONLINE”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 21/09/18 y 18/10/18, se dirige sendos requerimientos informativos a la entidad reclamada. TERCERO: Con fecha 23/10/18, la entidad reclamada, remite a esta Agencia, escrito de contestación donde, entre otras, indica: “Se informa que, una vez recibida la presente notificación, se ha procedido a informar a la reclamante de que, esta entidad ha adoptado, con carácter previo a la recepción de la citada reclamación, las medidas oportunas de cara a no realizar las comunicaciones contenidas en el “cupón de oferta” objeto material de atención de la reclamación, en concreto a lo que se refiere a “recibir publicidad de terceros” ni tampoco en cuanto a la “cesión de datos a estos”. Confirmar que los datos no han sido tratados para los fines mencionados ni esta administrada ha utilizado en modo alguno los cupones de oferta con finalidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 excesivas a las del objeto del tratamiento, por cuanto, las medidas y decisiones que se le comunican fueron implementadas por la propia entidad previamente a la recepción de la propia reclamación. Consecuentemente no ha existido en ningún momento vulneración de los derechos y libertades de la denunciante, como de ningún interesado, todo ello al haberse adoptado con carácter previo las medidas correctoras oportunas. Se informa que la acción comercial diseñada fue dirigida a los clientes sin la aprobación previa del Delegado de Protección de Datos de la entidad, todo ello debido a un error puntual por parte del departamento afectado en la falta de comunicación interna de todos los aspectos que conllevaba la acción y posibles repercusiones en materia de protección de datos sobre los clientes. Esta circunstancia ha sido consecuencia de que la entidad se encontraba, a la fecha de la emisión del cupón, en proceso de integración de los nuevos requerimientos del Reglamento General de Protección de Datos (en adelante, “RGPD”), en concreto de la norma interna de Tratamiento de Datos de Carácter Personal, actualizada en el mes de mayo de 2018 para su adecuación al Reglamento General de Protección de Datos. La actualización de esta norma se había publicado en el portal del empleado de la organización y se había comunicado, entre otros aspectos, en el mensaje dirigido por el Consejero Delegado de la entidad a todos los empleados con ocasión del inicio de la plena aplicación del RGPD. Igualmente se habían llevado a cabo las tareas formativas necesarias sobre estos nuevos conceptos, lo que implicaba que se encontrara en pleno inicio de su aplicación práctica, con la lógica dificultad de su asimilación real, tareas que se ha procedido a resolver. Las medidas adoptadas, en su secuencia temporal, se anticipan a la propia recepción de la notificación de la reclamación interpuesta de modo que, ya había sido detectado que los cupones no se adecuaban a los estándares de la compañía en materia de protección de datos. Por esta razón, el Delegado de Protección de Datos decidió adoptar las siguientes medidas mitigadoras: a).- Convocar en fecha de 09/08/18 una reunión con los departamentos afectados para revisar la campaña de recogida de consentimientos mediante la utilización de cupones de Club DIA. b).- Paralizar la campaña de recogida de consentimiento mediante la utilización de cupones de Club DIA en vigor durante el mes de agosto; Comunicar a los clientes dicha paralización emitiendo un mensaje en el perfil corporativo de redes sociales de DIA; Finalizado el mes de agosto, no trasladar la utilización de cupones por los clientes como marca de consentimiento a su perfil de cliente de Club DIA. Como conclusión a lo expuesto en el cuerpo de este escrito, procede hacer manifestación de que los mecanismos internos de esta administrada en materia de protección de datos de carácter personal funcionaron sin necesidad de estímulo proveniente de la reclamación presentada. Efectivamente, sin tener aún conocimiento de la interposición de la misma, ya había sido detectado el problema y se habían establecido los medios para evitar todo perjuicio a los potenciales interesados y, de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 misma manera, eliminar toda posibilidad de aprovechar una situación que se apreciaba como inexacta en materia de Cumplimiento”. CUARTO: Con fecha 16/11/18, la entidad reclamada, remite a esta Agencia, escrito de contestación donde, entre otras, indica: “Se ha remitido correo a la reclamante, informando sobre el uso y funcionamiento de los cupones objeto de la reclamación, y que los datos de carácter personal de la reclamante no serán tratados para los fines mencionados en los cupones, al haber cotejado la entidad en sus sistemas de información, que los cupones no han sido canjeados. Entendemos que no se ha producido ninguna incidencia ni vulneración de los derechos y libertades de la reclamante. Destacar igualmente que la reclamante no se ha puesto en contacto, en ningún momento, con esta Entidad a fin de poder ser informada del objeto de los cupones y de su funcionamiento. Por tanto, desconocemos el motivo que ha originado la reclamación por parte de la denunciante. Se informa que, aunque esta parte considera que no se ha producido ninguna incidencia, DIA ha llevado a cabo una revisión de los sistemas de información susceptibles de tratamiento de datos de la reclamante con el fin de verificar si se han otorgado consentimientos mediante el uso del cupón. En este sentido, tras la verificación, se informa que no existen consentimientos otorgados por el uso del cupón que permita a esta Entidad tratar los datos de la reclamante para el envío de publicidad de DIA, sus filiales y participadas. QUINTO: Con fecha 08/07/19 y de conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos en su artículo 64.2, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la denuncia presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la AEPD actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” II En el presente caso, se procede a examinar las reclamaciones recibidas en esta Agencia, el 08/08/19 y 02/10/18 por medio de las cuales se trasladaba a esta Agencia el hecho de considerar ilegal consentir recibir publicidad comercial del grupo de alimentación DIA SA. a cambio de poder canjear uno de los cupones descuento en las compras de productos del supermercado. A este respecto, se debe indicar que, el artículo 4.11 del RGPD define el consentimiento del interesado para el tratamiento de sus datos personales como: “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”; Por su parte, el considerando