1/5 Procedimiento Nº: E/10237/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante THE CLICK LAB S.L., en virtud de reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante incluida en el caso IMI con el código 51824 de fecha 4 de noviembre de 2018, en la misma se manifiesta que en fecha 29 de mayo de 2018 ha recibido un correo publicitario procedente de The Click Lab S.L. con NIF B66108002 en su buzón ***EMAIL.1 sin haber consentido al tratamiento de sus datos personales. Aporta copia del citado correo electrónico SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: 1. Los datos identificativos del reclamante fueron recabados el 03/07/2015, a las 19:02 de la tarde, por medio de la campaña promocional online organizada por Response Concepts, B.V. alojada en la URL <oral-b.klient-paneltestowy.com>, por expresa atribución del titular del fichero, The Click Lab, S.L. 2. El interesado accedió a dicha URL con la dirección IP ***IP.1. Los datos así recabados fueron indexados en una base de datos desde su recepción y hasta el pasado día 22 de junio de 2018, fecha en la que The Click Lab atendió a la solicitud de baja interesada por el propio afectado. 3. Para la creación de la base de datos, The Click Lab contrató con la sociedad Response Concepts, para que la misma llevara a cabo la actividad de recabar los datos de carácter personal de determinadas personas físicas que mostrasen interés en recibir las comunicaciones publicitarias. Las partes suscribieron el contrato de fecha 18/06/2015. En el citado contrato se especifican los siguientes aspectos: o Tipos de datos personales objeto del encargo (datos meramente identificativos): Nombre, apellido, género, fecha de nacimiento, dirección de correo electrónico, timestamp u hora de registro y dirección IP. o La contratación por parte de The Click Lab del servicio complementario “COI” (Confirmed opt-
- in)o Doble opt-in, por el cual Response Concepts se obliga a aplicar un mecanismo de doble verificación del registro del interesado en el mecanismo de recogida de sus datos con el fin de asegurar la captación de los datos y el correcto entendimiento y voluntad del usuario a su facilitación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 o La adecuación de los datos personales recabados a la finalidad determinada por The Click Lab, determinada en las Condiciones particulares del contrato (“Additional information”): el envío de comunicaciones publicitarias a través de técnicas de e-mail marketing. o Se establece la obligación de Response Concept de proveer al interesado con la información acerca del destinatario de sus datos (la compañía The Click Lab en este caso), así como el uso/tratamiento que se dará a los mismos (envío de publicidad vía correo electrónico en este caso). Esta obligación de información, que se contiene en el apartado 6.4, es sin duda una obligación esencial del contrato por cuanto su violación determinaría la imposibilidad de su uso/tratamiento por parte del Responsable del tratamiento. Los datos recabados sobre el reclamante corresponden con datos identificativos y objeto del citado contrato con Response Concept de fecha 18/06/2015 (Nombre, apellido, género, fecha de nacimiento, código postal, dirección de correo electrónico, timestamp e IP). Se contiene, además, la fecha en la que los datos del reclamante fueron dados de baja: 22/06/2018. En relación al consentimiento del afectado Según manifiestan los representantes de la entidad el reclamante otorgó el consentimiento al tratamiento de sus datos personales y a la recepción de información comercial por correo electrónico por las siguientes justificaciones: o The Click Lab contrató la creación de la base de datos a la compañía Response Concept según contrato de fecha 18/06/2015. o Constan los datos identificativos del reclamante, junto con su Código postal, el timestamp y dirección IP, datos identificativos que se recaban con el único propósito de asegurar la veracidad y adecuación del procedimiento de registro o captación. o Response Concept utiliza, a expresa petición de The Click Lab, tal y como se establece en el contrato suscrito por las partes, la obligación de utilizar un doble opt in (Confirmed opt-
- in)lo cual significa que el usuario no solo consiente el tratamiento de sus datos y con las finalidades expresadas, sino que además se reafirma en su aceptación mediante la validación del alta en su correo electrónico. El reclamante prestó su consentimiento, incluso en doble instancia (doble opt in), a que sus datos fueran tratados para el envío de publicidad vía correo electrónico, así como quién efectivamente estaba recabando los datos; The Click Lab. En relación a la baja El reclamante fue efectivamente dado de baja en fecha 22 de junio de 2018, a las 17:41 horas. Por consiguiente, puede apreciarse que hace 7 meses que The Click Lab dejó de tratar sus datos, inutilizándolos para cualquier tratamiento que no respondiese de una obligación legal. La baja automática se tramitó de la Base de Datos titularidad de The Click Lab por medio del link de “opt-out” facilitado al usuario en cada una de las comunicaciones publicitarias que le son enviadas directamente o en nombre de The Click Lab. La baja del usuario se tramita de forma imperativa, directa, automática e ineludible por parte del sistema informático, no siendo posible su reactivación. Mediante el mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 mecanismo se informa de forma automática e inmediata al usuario de que se ha procedido a realizar su baja. La compañía The Value Factory, S.L. es una compañía especializada en servicios de marketing por correo electrónico. Por ello, en fecha 16/05/2018 The Click Lab decidió contratar la gestión de la base de datos en la que se encuentra el reclamante a The Value Factory con la finalidad de externalizar la actividad de email marketing dada su trayectoria y especial sensibilidad en el tratamiento de datos personales. Del citado contrato cabe destacar los aspectos siguientes: o Tiene como objeto la gestión de la Base de Datos, por medio de la externalización de la actividad publicitaria consistente en el envío de comunicaciones vía correo electrónico. o La actuación de The Value Factory se enmarca en la figura de Encargado de Tratamiento en cuanto gestiona la base de datos titularidad de The Click Lab. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del RGPD otorga a cada autoridad de control, teniendo en cuenta los artículos 56 y 60 del RGPD y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la directora de la Agencia Española de Protección de Datos. II El RGPD, de efecto directo y plenamente aplicable desde el 25 de mayo de 2018 indica en sus considerandos:
(59)Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
(64)El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios en línea y los identificadores en línea. El responsable no debe conservar datos personales con el único propósito de poder responder a posibles solicitudes. Por su parte, interesa destacar, a los efectos de la identificación del interesado, el artículo 12.1,.2 y .6 del RGPD: ”Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”: “
- El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
- El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a
- En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
- Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.” III El Reglamento establece un régimen flexible tendente a facilitar el ejercicio de sus derechos por los interesados, debiendo proporcionarse los medios, incluidos los electrónicos, que faciliten dicho ejercicio, debiendo el responsable del tratamiento “utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso”. Y solo en el caso de que tenga dudas razonables en relación con su identidad, “podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado”. Se ha acreditado que la actuación del reclamado es proactiva y ajustada en su respuesta al ejercicio de un derecho personalísimo, no estimándose que se produce infracción de la normativa vigente de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente resolución a THE CLICK LAB S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es