1/13 Procedimiento Nº PS/00075/2015 RESOLUCIÓN: R/02022/2015 En el procedimiento sancionador PS/00075/2015, instruido por la Agencia Española de Protección de Datos a la entidad ENVIALIA WORLD, S.L., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/03/2014, tuvo entrada en esta Agencia un escrito del Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, en el que pone de manifiesto que, en el marco de una actividad de control de bienes y servicios puestos a disposición de los consumidores, el citado Instituto ha analizado las condiciones de contratación y demás documentación contractual utilizada por empresas dedicadas al transporte de mercancías, habiéndose detectado irregularidades que afectan a las cláusulas de privacidad que utilizan algunos de los prestadores investigados, en las cuales se aprecia posible vulneración de obligaciones o requisitos establecidos por la Ley Orgánica 15/1999, de 13 diciembre, de protección de datos de carácter personal (en lo sucesivo LOPD) y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 diciembre. En relación con la entidad Envialia World, S.L. (en lo sucesivo ENVIALIA), a través de la web www.envialia.com, accedieron a los documentos denominados “Condiciones del servicio” y “Política de privacidad”. De la información que contienen, el Instituto Municipal de Consumo destaca la siguiente: . Los datos recogidos “se incluirán en un fichero... y serán tratados por la empresa de acuerdo a la legislación vigente en materia de protección de datos personales, con la finalidad del mantenimiento de la relación comercial” (estipulación 19ª). . “El Cliente... autoriza a la Compañía para realizar campañas de información sobre mejora y ampliación de los servicios” (condición del servicio 12ª). . “Asimismo le informamos que sus datos podrán ser cedidos a las empresas del grupo empresarial (Política de Privacidad). A este respecto, considera dicho Instituto que ninguna de las finalidades mencionadas en las dos primeras cláusulas guarda relación directa con la ejecución del contrato suscrito. A pesar de ello, la empresa no ofrece al afectado la posibilidad de que manifieste expresamente su negativa a dicho tratamiento de los datos, tal como exige el art. 15 del Real Decreto 1720/2007, y que la comunicación de datos que contempla la tercera de las cláusulas transcritas no cuenta con el consentimiento previo del afectado que requiere el artículo 11 de la LOPD, a pesar de que se trata de un tratamiento de datos que no resulta necesario para la ejecución del contrato suscrito. El documento “Política de Privacidad” aportado con la denuncia indica lo siguiente: “Los datos personales que proporciones a Envialia serán sometidos a un tratamiento automatizado, de carácter confidencial, en fichero creado por envidia, conforme a los términos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 establecidos en la Ley Orgánica 15/1999 de Protección de Datas de Carácter personal, con el fin de dar trámite y gestionar tu solicitud. Envialia no vende ni alquila información de sus Clientes, ni facilita información de los mismos a terceros que no estén relacionados con la transacción realizada, salvo que usted haya consentido dicha operación, de acuerdo con lo exigido por la legislación vigente, o sea necesario para la prestación del servicio por parte de Envialia. Asimismo le informamos que sus datos podrán ser cedidos a las empresas del grupo empresarial. En cualquier momento podrá revocar el consentimiento otorgado, así como ejercitar los derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos en la legislación vigente, dirigiéndose se por escrito a ENVIALIA WORLD, S.L., Av. del Sol… info@envialiaurgente.com, @envialiaAyuda, 902*******”. Por otra parte, en el documento “Condiciones del Servicio” se indica: “LOPD El Cliente acepta y autoriza a la Compañía, en los términos exigidos y con los límites establecidos en la Ley Orgánica 15/1999, de Protección de datos de Carácter Personal (LOPD) y normativa de desarrollo, para que sus datos de identificación sean comunicados e integrados en una base de datos a fin de realizar la gestión y seguimiento de los envíos encomendados. Asimismo, autoriza a la Compañía para realizar campañas de información sobre mejora y ampliación de los servicios. En caso de que desee no recibir ninguna información relativa a los servicios, así como para ejercitar los derechos de acceso, cancelación o rectificación rogamos contacte con la Compañía con la que contrató el servicio, o haga llegar su petición vía e-mail a nuestra dirección de correo electrónico”. SEGUNDO: Con fecha 13/10/2014, por la Subdirección General de Inspección de Datos se accede a la web envialia.com, comprobando que contiene dos formularios de recogida de datos personales, con las denominaciones “Atención al Cliente” y “Quiero ser cliente/Información”, con campos habilitados para que el interesado facilita sus datos personales relativos a nombre, apellidos, email, empresa, teléfono, dirección, código postal, población, provincia, sector, número de envío, destinatario, etc. Estos formularios contienen una casilla para marcar “He leído la Política de Privacidad”, pero el enlace no está operativo. Asimismo, a través de dicha web se accede a un documento denominado “Aviso Legal” que contiene la siguiente información en materia de protección de datos personales: “8.- Para el uso de ciertos servicios, el usuario deberá proporcionar determinados datos de carácter personal. El usuario al proporcionarlos otorga el consentimiento para su tratamiento. ENVIALIA tratará dichos datos con la finalidad de mantener las relaciones por las que se recolectan, de conformidad con la ley en vigor. Los usuarios que proporcionen datos personales a ENVIALIA tienen reconocidos de conformidad con la ley vigente los derechos de acceso, rectificación y cancelación y oposición. El ejercicio de oposición implicará la finalización de las relaciones entre ENVIALIA y el usuario en virtud de las cuales se comunicaron dichos datos. A los efectos del ejercicio de estos derechos o para cualquier consulta que se derive del uso de esta web, los usuarios podrán dirigirse a la siguiente dirección: Avenida del Sol…”. Indica la finalidad del tratamiento y la posibilidad de ejercer los derechos ARCO y el domicilio para su ejercicio, pero no el nombre de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Asimismo, se comprueba que el documento “Política de Privacidad” señala que los datos que se cederán a empresas del grupo pero no indica los sectores de actividad de los cesionarios ni los fines para los que se cederán los datos, ni la finalidad del tratamiento; y que el documento “Condiciones del Servicio” no indica la dirección de correo electrónico ante la que deberán ejercitarse los derechos ARCO. Parece oportuno que toda la información estuviera contenida en el documento “Política de Privacidad”, que corresponde al indicado en los formularios de recogida de datos. TERCERO: Con fecha 24/02/2015, la AEPD acordó iniciar procedimiento sancionador a ENVIALIA, por la presunta infracción del artículo 5.1 de la LOPD, en relación con el artículo 11.3 de la misma norma y los artículos 15 y 45.1.
- b)del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la misma. CUARTO: Notificado el acuerdo de inicio, ENVIALIA presentó escrito de alegaciones en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: . El enlace denominado “He leído la política de privacidad” aparece de forma permanente en la parte inferior de la página web, permanentemente accesible y operativo, no como enlace dentro del formulario descrito. . La Política de Privacidad establece la expresa negativa de transmisión de datos personales, resultando incluso más garantista al solicitar la expresa autorización del titular de los mismos. . En la cláusula 2ª del documento denominado “aviso legal” se identifica a “Envialia World, S.L.”, con su CIF, como empresa titular del contenido de la página web, y en las sucesivas se hace referencia a “Envialia”, en modo abreviado. . Según ha comprobado la propia Subdirección General de Inspección de Datos en su acceso a la página web, la finalidad queda debidamente recogida al indicar que “Envialia tratará estos datos con la finalidad de mantener las relaciones por las que se recolectan de conformidad con la Ley en vigor”, indicando así la finalidad del tratamiento y la posibilidad de ejercer los derechos ARCO. En definitiva, el tratamiento de los datos de las empresas del grupo es necesario para el desarrollo de los trabajos, ya que por empresas del grupo se entiende a las empresas -Centros de Servicio- que ejecutan el trabajo de recogida y entrega de los envíos, y que por tanto requieren acceder a los datos para poder desarrollar los trabajos. . No es de aplicación el artículo 15 del Reglamento de desarrollo de la LOPD, dado que la cesión de los datos recogidos se hace únicamente a las empresas del grupo que conforman la RED ENVIALIA con la misma finalidad por la que se recogieron los datos, es decir, la relación comercial con el cliente y la prestación del servicio de mensajería, tal y como se indica dentro de la misma política de privacidad cuando se expone “ni facilita información de los mismos a terceros que no estén relacionados con la transacción realizada”, siendo precisamente por este motivo por el que, si el usuario no marca la casilla denominada “He leído la Política de Privacidad”, no se puede enviar el cuestionario con los datos personales. Considera que marcar la casilla mencionada sirve como sistema de comunicación y de aceptación por parte del cliente de que sus datos pueden ser cedidos a estas empresas que conforman la “Red Envialia”, con el fin exclusivamente de prestar el servicio contratado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 En este sentido, el artículo 11.1 de la LOPD establece que los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado, que debe relacionarse con el artículo 12, que distingue de la cesión los supuestos de tratamiento por cuenta de un tercero. QUINTO: Con fecha 10/04/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, y por incorporados los documentos obtenidos por la Subdirección General de Inspección de Datos en fecha 13/10/2014. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de apertura del procedimiento formuladas por ENVIALIA. Por otra parte, el instructor del procedimiento accedió al sitio web envialia.com y obtuvo copia de los documentos “Política de Privacidad”, “Aviso legal” y “Condiciones del Servicio”, cuyo contenido coincide con el reseñado en los Antecedentes Primero y Segundo, así como copia de los formularios de recogida de datos “Atención al Cliente” y “Quiero ser cliente/Información”, que se incorporan a las actuaciones. El acceso a estos documentos y formularios se realiza mediante un enlace que aparece de forma permanente en la parte inferior de la web. Se comprueba que los citados formularios contienen una casilla para marcar “He leído la política de privacidad de Envialia”. SEXTO: Con fecha 07/07/2015, se emitió propuesta de resolución en el sentido de que se sancione a la entidad ENVIALIA con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en el artículo 45.1 y 4 de la misma. Notificada la citada propuesta, ENVIALIA presentó escrito en el que solicita nuevamente el archivo del procedimiento, reiterando, básicamente, sus argumentos anteriores: . ENVIALIA cumple lo dispuesto en el artículo 5 de la LOPD, informando al interesado en el documento “Condiciones del servicio”, cláusula 19ª, que “los datos se incluirán en un fichero y serán tratados por la empresa de acuerdo a la legislación vigente en materia de protección de datos, con la finalidad del mantenimiento de la relación negocial”; y en la cláusula 2ª del documento “Aviso legal” se identifica a la entidad responsable del fichero. . No es aplicable la Sentencia del TS citada en la propuesta, al referirse a cesión de datos a terceros con fines distintos a los que originaron la recogida de los datos. . ENVIALIA no solicita el consentimiento para fines no relacionados con la relación contractual, ni con fines publicitarios, ni la entidad se dedica a la recopilación de direcciones y resto de actividades a las que se refiere el artículo 45 del Reglamento de desarrollo de la LOPD, ni tampoco a ningún sector ajeno a la mensajería, al igual que el resto de centros o empresas colaboradoras. En todo caso, ha modificado el contenido de la web, en las “Condiciones del Servicio”, para habilitar una casilla que permita al usuario marcar la recepción de información sobre mejoras de los servicios. . No es de aplicación el artículo 15 del Reglamento, por cuanto, el tratamiento de los datos por las empresas del grupo es necesario para el desarrollo de los trabajos y, según se indica en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 “Política de privacidad”, no se facilita información a terceros que no esté relacionada con la transacción realizada. Esta cesión no se considera comunicación de datos conforme a lo establecido en el artículo 11.1 de la LOPD en relación con el 12. . La ausencia del nombre de la entidad en el “Aviso legal” se trata de un error tipográfico que se ha subsanado, aunque dicho nombre consta en el mismo pantallazo perfectamente visible. . Ausencia de culpabilidad, al no concurrir una omisión imputable por dolo, malicia o imprudencia o negligencia. . Subsidiariamente, invoca el principio de proporcionalidad para que se imponga una multa por el importe mínimo establecido para las infracciones leves, considerando que los clientes captados on-line representan un volumen mínimo, ha actuado diligentemente para evitar un resultado dañoso, se han corregido los pequeños errores gramaticales, no existen perjuicios, ni intencionalidad, no existe reincidencia y no se han producido perjuicios a las personas interesadas. Considerando estas circunstancias, ENVIALIA estima aplicable el artículo 45.5 de la LOPD para que la sanción se reduzca al mínimo establecido. SÉPTIMO: Con fecha 22/07/2015, se accede a los documentos “Política de Privacidad”, “Condiciones del Servicio” y “Aviso Legal” insertados en la web de ENVIALIA para comprobar las manifestaciones realizadas en sus alegaciones a la propuesta de resolución, constatando que la información contenida en los mismos en materia de protección de datos de carácter personal no ha variado, respecto a la reseñada en los Antecedentes anteriores. Por otra parte, a pesar de lo indicado por ENVIALIA en sus alegaciones, se comprueba que el documento denominado “Condiciones del Servicio” no incluye ninguna casilla ni otro procedimiento válido que permita al interesado oponerse a la utilización de sus datos con fines no relacionados con la relación contractual. HECHOS PROBADOS 1. En la web envialia.com aparecen insertados dos formularios de recogida de datos personales, con las denominaciones “Atención al Cliente” y “Quiero ser cliente/Información”, con campos habilitados para que el interesado facilita sus datos personales relativos a nombre, apellidos, email, empresa, teléfono, dirección, código postal, población, provincia, sector, número de envío, destinatario, etc. Estos formularios contienen una casilla para marcar “He leído la Política de Privacidad”. 2. La información que la entidad ENVIALIA ofrece a los usuarios de su web www.envialia.com en materia de protección de datos de carácter personal está contenida en los documentos insertados en la misma, denominados “Política de Privacidad”, “Aviso legal” y “Condiciones del Servicio”, cuyo contenido consta reseñado en los Antecedentes Primero y Segundo, que se declara reproducido en este Hecho Probado. El acceso a estos documentos y formularios se realiza mediante un enlace que aparece de forma permanente en la parte inferior de la web. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada ENVIALIA una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad ENVIALIA debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. En el caso que nos ocupa se ha podido comprobar que la entidad ENVIALIA incumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del RD 1720/2007, en la medida en que dispone de formularios de recogidas de datos a través de su web www.envialia.com, en la que se ofrece una información en materia de protección de datos, contenida en los documentos denominados “Política de Privacidad”, “Aviso legal” y “Condiciones del Servicio”, cuyo contenido consta reseñado en los Antecedentes Primero y Segundo, que no se ajusta a las previsiones normativas reseñadas. En concreto, ENVIALIA recaba datos personales mediante dos formularios insertados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 la citada web, denominados “Atención al Cliente” y “Quiero ser cliente/Información”, con campos habilitados para que el interesado facilite sus datos personales relativos a nombre, apellidos, email, empresa, teléfono, dirección, código postal, población, provincia, sector, número de envío, destinatario, etc. Se ha comprobado que, a través del documento “Condiciones del Servicio”, ENVIALIA solicita el consentimiento de los usuarios de su web para el tratamiento de sus datos personales con una finalidad comercial, para la promoción de sus servicios, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad, en contra de lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD, y sin ofrecer una casilla u otro mecanismo válido que pueda emplearse en el momento de la recogida de los datos para que el afectado pueda oponerse a dicha utilización de sus datos personales. En concreto, a este respecto, en el citado documento se indica lo siguiente: “Asimismo, autoriza a la Compañía para realizar campañas de información sobre mejora y ampliación de los servicios. En caso de que desee no recibir ninguna información relativa a los servicios, así como para ejercitar los derechos de acceso, cancelación o rectificación rogamos contacte con la Compañía con la que contrató el servicio, o haga llegar su petición vía e-mail a nuestra dirección de correo electrónico”. Por otra parte, la indicación sobre la posibilidad de los afectados de contactar con la compañía con la que contrataron el servicio exponiendo su negativa a facilitar sus datos con fines comerciales o publicitarios no resulta suficiente para entender cumplidas las exigencias normativas reseñadas, por cuanto la obligación de ofrecer un mecanismo válido para oponerse en el momento mismo de la recogida de datos personales se establece para el momento mismo de la recogida de los datos o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. En este sentido la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, ha declarado lo siguiente: no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. Además, en el documento “Condiciones del Servicio” no consta la dirección de correo a la que deberán dirigir la petición para que los datos no se utilicen con fines publicitarios, aunque la misma se indica en la “Política de Privacidad”. Por otra parte, no puede admitirse la alegación formulada por ENVIALIA para salvar los reparos apreciados en el cumplimiento del deber de información, según las cuales no no solicita el consentimiento para fines no relacionados con la relación contractual, ni con fines publicitarios, y no desarrolla ninguna actividad ajena al sector de la mensajería. Lo determinante es que solicita su consentimiento con dicha finalidad y lo hace sin respetar las exigencias que conlleva dicho deber. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Además, según la información contenido a el documento Política de Privacidad, el cliente que facilite sus datos personales consiente la comunicación de tales datos a otras “empresas del grupo empresarial”, sin especificar las finalidades para las que serán cedidos ni los sectores de actividad de las empresas destinatarias y, al igual que en el caso anterior, sin ofrecer un mecanismo para que pueda oponerse a dicha comunicación de datos. En relación con esta cuestión, el citado artículo 11.3 de la LOPD establece que “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. Y el citado artículo 5.1.
- a)de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información y de la finalidad del tratamiento. Es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, así como de la finalidad que la motiva, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concretos. La cesión de datos a “empresas del grupo empresarial” es indeterminada, pues no concreta quienes van a ser los destinatarios de la información. No se especifica cuáles son las empresas de la red a las que se pueden ceder los datos de los clientes, ya que dicha cláusula no hace mención a las mismas, al menos con referencia a su tipo de actividad. Sin información sobre la finalidad y destinatarios no cabe admitir la cláusula informativa como suficiente para entender válido el consentimiento. Por otra parte, tampoco se cumple la obligación de ofrecer la posibilidad de oponerse a las cesiones de datos personales indicadas, establecida, según ha quedado expuesto, para el momento de la recogida de los datos. En relación con esta cuestión, ENVIALIA ha señalado en sus alegaciones que no facilita información a terceros que no esté relacionada con la transacción realizada. Sin embargo, la mera mención que se recoge en la Política de Privacidad sobre la posibilidad de comunicar los datos a las entidades de grupo (“Asimismo le informamos que sus datos podrán ser cedidos a las empresas del grupo empresarial”) no permite deducir la actividad de las mismas ni tampoco que la cesión tengo por objeto exclusivo la ejecución del servicio de mensajería contratado. Por último, además de lo expuesto, ha de señalarse que la información que se ofrece por ENVIALIA a los usuarios de su web aparece dispersa en varios documentos y sin una estructura adecuada, posibilitando que tales usuarios puedan facilitar datos personales sin haber obtenido toda la información que se ofrece. Procede que esta información se recoja en el documento “Política de Privacidad”, que corresponde al indicado en los formularios de recogida de datos y es el que éstos están obligados a marcar para el registro de los datos, lo que aseguraría el acceso a la información por parte de los interesados. III El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad ENVIALIA ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, sin perjuicio de considerar algunas de las circunstancias invocadas por ENVIALIA (ausencia de perjuicios y de reincidencia), se tiene en cuenta la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada, que la falta de información en los formularios de recogida de datos habilitados por la entidad no permite considerar que sus procedimientos de recogida de datos fuesen adecuados, y, especialmente, que no ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, circunstancias que operan todas ellas como agravantes. Estas circunstancias, que no han sido consideradas por la entidad imputada en sus alegaciones, impiden imponer una multa por el importe mínimo previsto. En cuanto al grado de intencionalidad, se considera que no consta que se hayan aplicado las regularizaciones precisas, por cuanto los reparos expresados ya figuraban en la apertura del procedimiento y se mantienen en la información accedida durante la instrucción. Por todo ello, procede la imposición de una multa en grado medio, por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENVIALIA WORLD, S.L., por una infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha Ley Orgánica, tipificada como leve en el artículo 44.2.
- c)de la misma norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ENVIALIA WORLD, S.L. y al INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es