1/17 Procedimiento Nº PS/00077/2015 RESOLUCIÓN: R/02035/2015 En el procedimiento sancionador PS/00077/2015, instruido por la Agencia Española de Protección de Datos a la entidad SEUR, S.A., vista la denuncia presentada por la entidad INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/03/2014, tuvo entrada en esta Agencia un escrito del Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, en el que pone de manifiesto que, en el marco de una actividad de control de bienes y servicios puestos a disposición de los consumidores, el citado Instituto ha analizado las condiciones de contratación y demás documentación contractual utilizada por empresas dedicadas al transporte de mercancías, habiéndose detectado irregularidades que afectan a las cláusulas de privacidad que utilizan algunos de los prestadores investigados, en las cuales se aprecia posible vulneración de obligaciones o requisitos establecidos por la Ley Orgánica 15/1999, de 13 diciembre, de protección de datos de carácter personal (en lo sucesivo LOPD) y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 diciembre. En relación con la entidad SEUR, S.A. (en lo sucesivo SEUR), a través de la web www.seur.com, accedió al documento denominado “Política de Privacidad”. De la información que contienen, el Instituto Municipal de Consumo destaca la siguiente: “Los datos de carácter personal se obtienen directamente mediante los formularios a través de los cuales Ud. nos facilita sus datos y consiente el tratamiento de los mismos. Las finalidades de la recogida y su tratamiento automatizado son: (…) - El envío de información general, técnica, operativa publicitaria y promocional...“ (Política de Privacidad, apartado Protección de la Información). A este respecto, considera dicho Instituto que el tratamiento de los datos recogidos con la finalidad de enviar comunicaciones comerciales al afectado es una finalidad que no guarda relación directa con la ejecución del contrato suscrito. A pesar de ello, la condición general transcrita afirma que el afectado consiente al efecto, en lugar de ofrecerle la posibilidad de que manifieste expresamente su negativa a dicho tratamiento de los datos, tal como exige el art. 15 del RD 1720/2007. En el documento “Política de Privacidad” que aporta con la denuncia se indica lo siguiente: “Política de privacidad Protección de la información En SEUR somos conscientes de la importancia que tiene para nuestros clientes la protección de la información, por ello hemos adoptado y nos comprometemos a seguir adoptando una serie de medidas esenciales para establecer una política de protección de la privacidad y confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 para los datos que de nuestros clientes recibamos, almacenemos y/o procesemos. Es nuestro objetivo garantizar el respeto absoluto a la confidencialidad y privacidad de toda la información que se recoja y procese de nuestros clientes de acuerdo con las exigencias legales. Es por tanto que SEUR no vende ni alquila información de sus clientes, ni facilita información de los mismos a terceros que no estén relacionados con la transacción realizada, salvo que Ud haya consentido dicha operación de acuerdo con lo establecido en esta política, así lo exija la legislación vigente o sea necesario para la prestación del servicio. El objetivo más importante al recoger y almacenar información sobre nuestros clientes es garantizar la eficacia, seguridad y rapidez de los envíos que transportamos. SEUR utilizará la información recabada para cumplir contratos de transporte y acuerdos de servicio y podrá utilizar parte de la misma para comunicaciones con nuestros clientes y de esta manera proporcionar una mejora de nuestros servicios y una mejor atención en nuestra capacidad de información de nuestros actuales y futuros servicios. Los datos de carácter personal se obtienen directamente mediante los formularios a través de los cuales Ud. nos facilita sus datos y consiente el tratamiento de los mismos. La finalidad de la recogida y su tratamiento automatizado son: . La ejecución y el mantenimiento de cualesquiera relaciones contractuales que pudiera mantener SEUR y sus usuarios y clientes. . La ejecución, gestión administración, ampliación y mejora de los Servicios que fuesen solicitados y/o utilizados por los usuarios y clientes. . El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil, correo ordinario. . La realización de estudios internos de Marketing con al fin de mejorar nuestros productos y servicios. Asimismo, la finalidad de la recogida y tratamiento automatizado incluye igualmente el envío de formularios de opiniones sobre la página web, que el usuario no queda obligado a contestar. Enlaces con otros sitios web Mecanismos de seguridad Uso de cookies Direcciones IP Comunicaciones mediante correo electrónico Confirmación a través de SMS Conservación de la información Cláusula de Tratamiento de Datos según lo establecido en la LDPD 15/99 Aceptación de la Política de Privacidad y Confidencialidad”. SEGUNDO: Con fecha 13/10/2014, por la Subdirección General de Inspección de Datos se accede a la web seur.com, comprobando que en la misma aparece insertado un formulario de recogida de datos personales, para contratar a través de dicha web, con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc. Se comprueba, asimismo, que la “Política de Privacidad” informa sobre la posibilidad de tratar datos con fines comerciales, de determinados sectores, y se añade actividades y servicios propios sin indicar el sector. Por otra parte, se constata que no se ofrece una casilla u otro medio para mostrar la negativa. También se informa sobre la cesión a entidades de la “Red Seur” sin indicar la finalidad de la cesión ni el sector de actividad del cesionario. Tampoco contiene casilla u otro medio para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 mostrar la negativa. Estas indicaciones constan en el apartado “Cláusulas de tratamiento de datos según lo establecido en la LOPD15/99” de la Política de Privacidad. TERCERO: Con fecha 24/02/2015, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SEUR, por la presunta infracción del artículo 5.1 de la LOPD, en relación con el artículo 11.3 de la misma norma y los artículos 15 y 45.1.
- b)del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la misma. CUARTO: Notificado el acuerdo de inicio, SEUR presentó escrito de alegaciones en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: . El texto de la Política de Privacidad de la compañía, tanto en lo dispuesto sobre “Protección de la Información”, como en la “Cláusula de Tratamiento de Datos según lo establecido en la LOPD 15/99”, disponibles en la web seur.com, contienen todas aquellas previsiones mencionadas en la LOPD, informando a los clientes que soliciten sus servicios lo siguiente: “El objetivo más importante al recoger y almacenar información sobre nuestros clientes es garantizar la eficacia, seguridad y rapidez de los envíos nacionales e internacionales que llevamos a cabo o en los servicios de transporte urgente que realizamos. SEUR utilizará la información recogida para verificar el cumplimiento de los contratos de transporte y todos los acuerdos que derivan de los servicios de envío que realiza, con el objetivo de utilizar parte de la misma para futuras comunicaciones con sus clientes y así proporcionar una mejora de nuestros servicios presente y futuros y una óptima atención a nuestros clientes. La información de carácter personal que configuran nuestras bases de datos se obtienen directamente de los formularios que nuestros clientes rellenan conscientes del tratamiento de los mismos. La finalidad de la recogida y tratamiento son: • La ejecución y el mantenimiento de cualesquiera relaciones contractuales que pudiera mantener SEUR y sus usuarios y/o clientes. • La ejecución, gestión, administración, ampliación y mejora de los servicios que fuesen solicitados y/o utilizados por los usuarios y clientes. • El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil o correo ordinario. • La realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística. Asimismo, la finalidad de la recogida y tratamiento automatizado incluye el envío de formularios de opiniones sobre la página Web, que el usuario no queda obligado a contestar.” De la lectura de este texto, el cliente medio puede deducir claramente la finalidad de la recogida de datos, el carácter obligatorio de facilitar ciertos datos, las consecuencias de la negativa a facilitarlos, etc. La información sobre la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición, figura incluida dentro de la Política de Privacidad, en el apartado de “Cláusula de Tratamiento de Datos...”. . En cuanto a la posible vulneración de lo dispuesto en el artículo 15 del Real Decreto 1720/2007, señala que el documento contractual que perfecciona el contrato de transporte que los clientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 solicitan a través de la plataforma alojada en la web seur.com, es la carta de porte (adjunta copia) que suscribe la sociedad franquiciada de la Red SEUR, la cual contiene todas aquellas prevenciones legales relativas tanto a la LOPD como a su Reglamento de desarrollo. En este documento existe la posibilidad de que el cliente marque una casilla para manifestar su negativa a que sus datos sean tratados para la promoción de los productos y servicios de la marca SEUR. En relación con esta cuestión, aporta copia del dorso de un documento con el rótulo “Condiciones Generales”, que contiene una información en materia de protección de datos personales dirigida al “remitente o destinatario del envíos”. Esta leyenda informativa incluye al final un recuadro con la siguiente indicación: “Marque esta casilla si no consiente el tratamiento de los datos personales para la promoción de los productos y servicios de la marca Seur”. Por otra parte, el mero registro en la página web seur.com no puede ser considerado como parte del “proceso de formación de un contrato” (en los términos indicados en el propio artículo 15 del citado Real Decreto), por cuanto ninguna de las partes (SEUR y el usuario que se registra) está asumiendo obligaciones frente a la otra parte. No existiendo relación contractual entre SEUR y el usuario registrado en la web, no cabe considerar incumplida esta obligación. . Respecto a la presunta vulneración de lo dispuesto en el artículo 45.1.b), advierte que SEUR no envía ni pretende enviar a los usuarios registrados en su página web, ni a sus clientes información comercial sobre otros sectores de actividad distintos del propio de SEUR, que no es otro que el del transporte. Y así se indica en la “Cláusula de Tratamiento de Datos según lo establecido en la LOPD 15/99” antes reproducida. En este sentido, no cabe duda de que cualquier usuario o cliente de SEUR es plenamente consciente y conocedor del sector de actividad en el que opera SEUR, y lo mismo se deduce del contenido de la web seur.com. En consecuencia, cualquier usuario que se registre en la página web seur.com y acceda a la “Cláusula de Tratamiento de Datos según lo establecido en la LOPD”, queda claramente informado de que la publicidad que recibirá será sobre productos y servicios propios de SEUR, y de que el sector al que pertenece SEUR es el del transporte. . Subsidiariamente, solicita la imposición de una sanción por el importe mínimo previsto, de acuerdo con los criterios establecidos en el artículo 45.4 LOPD, dada la inexistencia de circunstancias objetivas que impliquen una graduación superior. Igualmente, considera que, dada la inexistencia de expedientes sancionadores previos en esta materia, corresponde a percibir según lo previsto en el artículo 45.6 LOPD. QUINTO: Con fecha 14/04/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, y por incorporados los documentos obtenidos por la Subdirección General de Inspección de Datos en fecha 13/10/2014. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de apertura del procedimiento formuladas por SEUR. Por otra parte, el instructor del procedimiento accedió al sitio web seur.com y obtuvo copia del documento “Política de Privacidad”, cuyo detalle se reseña en el Hecho Probado Cuarto, así como de los formularios de recogida de datos “Envío online” (con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc.), “Contacta con nosotros” (recaba datos relativos nombre, email, teléfono, código postal y población) y “Alta de usuarios” (con espacios para cumplimentar el nombre, apellidos, NIF, email, código postal y población). Se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 comprueba que los dos últimos formularios citados contienen una casilla para marcar “He leído y acepto la política de privacidad de SEUR, S.A.” y no el primero de ellos. La contratación de los servicios de SEUR mediante el formulario “Envío online” requiere introducir el número de socio del interesado, por lo que se entiende que la recogida de datos para su registro como tal es anterior. SEXTO: Con fecha 03/07/2015, se emitió propuesta de resolución en el sentido de que se sancione a la entidad SEUR con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en el artículo 45.1 y 4 de la misma. Notificada la citada propuesta, SEUR presentó escrito en el que solicita nuevamente el archivo del procedimiento, de acuerdo con los argumentos siguientes: . Las cesiones de datos a las entidades integrantes de la Red Seur se realizan para el cumplimiento del objeto social de las mismas, esto es, el transporte de mercancías, resultando de aplicación la excepción prevista en el artículo 11.2.
- c)de la LOPD. Añade que, en todo caso, la Política de Privacidad informa sobre los destinatarios e incluye un hiperenlace a la relación de empresas de dicha Red, que además pude consultarse a través de los registros mercantiles. . En cuanto a la información sobre los sectores de actividad a los que puede referirse la publicidad, destaca que es sobradamente conocido el sector de SEUR y que en el primer apartado de la Política de Privacidad se señala expresamente como finalidad del tratamiento de los datos “la realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística”. Estos aspectos se explican al inicio del documento, no siendo necesario reiterar la explicación. . El formulario “Envío online” incluye, en el segundo paso de su cumplimentación, la aceptación de las Condiciones Generales y la Política de Privacidad. . Los formularios “Contacta con nosotros” y “Alta de usuarios” no constituyen un proceso de formación de un contrato, de modo que no es aplicable el artículo 15 del Reglamento de desarrollo de la LOPD. . Sin perjuicio de tales alegaciones, SEUR ha modificado la Política de Privacidad reiterando en todos sus puntos los sectores de actividad en los que opera dicha entidad y las empresas del grupo, aclarando que la cesión es necesaria para el cumplimiento del contrato y adoptando el procedimiento de la casilla de oposición al envío de comunicaciones comerciales en todos los formularios de recogida de datos. . El precedente considerado para no aplicar lo establecido en el artículo 45.6 de la LOPD no fue tramitado conforme a esta norma, es decir, SEUR nunca ha sido sancionada conforme a la LOPD. . Subsidiariamente, solicita de nuevo la imposición de una sanción por el importe mínimo previsto, de acuerdo con los criterios establecidos en el artículo 45.4 LOPD, considerando la ausencia de beneficios y de reincidencia, que no existen denuncias de particulares, la existencia de procedimientos de actuación en esta materia, y que las agravantes consideradas en la propuesta son puramente circunstanciales, ya que no responden a una voluntad de incumplir. Asimismo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 solicita se tengan en cuenta las medidas adoptadas y los precedentes que cita, iniciados en el año 2013 igualmente por denuncia del Servicio de Inspección de Consumo del Instituto Municipal de Consumo del Ayuntamiento de Madrid, en los que se impusieron multas inferiores incluso a empresas de gran relevancia. Aporta impresión de pantalla correspondiente al paso 2 del formulario “Envío online”, que incluye una casilla con la indicación “He leído y acepto la Política de Privacidad de SEUR, S.A. y sus condiciones generales”. SÉPTIMO: Con fecha 23/07/2015, se accede a la Política de Privacidad insertada en la web de SEUR para comprobar las manifestaciones realizadas en sus alegaciones a la propuesta de resolución, constatando que en la misma se ha añadido una nueva indicación señalando que el envío de información publicitaria se referirá a productos y servicios propios, actuales y futuros, del sector del envío, transporte y logística; y se detalla que los datos personales pueden ser comunicados a las entidades de la Red Seur, “del sector del envío, transporte y logística únicamente para la ejecución de los servicios contratados por el usuario”. Por otra parte, se comprueba que los formularios “Contacta con nosotros” y “Alta de usuarios” incluyen una casilla operativa que permite al interesado marcar la opción “No consiento el uso de mis datos para fines comerciales”. HECHOS PROBADOS 1. Con fecha 17/03/2014, el Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, formuló denuncia contra la entidad SEUR por incumplimiento de lo dispuesto en el artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha Ley Orgánica. Aportó copia de la Política de Privacidad insertada por dicha entidad en su web seur.com, cuyo contenido y estructura es similar al reseñado en el Hecho Probado Cuarto. 2. Con fecha 13/10/2014, la Subdirección General de inspección de Datos accedió al sitio web seur.com y obtuvo copia del formulario de recogida de datos insertado en la misma, denominado “Envío online”, que dispone de campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc. 3. Con fecha 14/04/2014, el instructor del procedimiento accedió al sitio web seur.com y obtuvo copia de los formularios de recogida de datos “Envío online” (con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc.), “Contacta con nosotros” (recaba datos relativos nombre, email, teléfono, código postal y población) y “Alta de usuarios” (con espacios para cumplimentar el nombre, apellidos, NIF, email, código postal y población). Se comprobó que los dos últimos formularios citados contienen una casilla para marcar “He leído y acepto la política de privacidad de SEUR, S.A.” y no el primero de ellos. 4. Con fecha 14/04/2014, el instructor del procedimiento accedió al sitio web seur.com y obtuvo copia del documento “Política de Privacidad”, que ofrece la siguiente información en materia de protección de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 <<En SEUR somos conscientes de la importancia que tiene para nuestros clientes la protección de la información, por ello, adoptamos y nos comprometemos a seguir una serie de medidas que, consideramos, son esenciales para conseguir una correcta política de protección de la privacidad y confidencialidad de los datos que nos lleguen. Nuestro objetivo, además de darte el mejor servicio de envío y transporte, es garantizar el respeto y la más absoluta confidencialidad y privacidad de toda aquella información que recogemos y procesamos de nuestros clientes. Según esto, SEUR no trafica con la información de sus clientes, ni facilita dichos datos a terceros que no estén relacionados con la transacción realizada, salvo que Ud. haya consentido dicha operación de acuerdo con lo establecido en esta política, así lo exija la legislación vigente o sea necesario para la prestación del servicio. El objetivo más importante al recoger y almacenar información sobre nuestros clientes es garantizar la eficacia, seguridad y rapidez de los envíos nacionales e internacionales que llevamos a cabo o en los servicios de transporte urgente que realizamos. SEUR utilizará la información recogida para verificar el cumplimiento de los contratos de transporte y todos los acuerdos que derivan de los servicios de envío que realiza; con el objetivo de utilizar parte de la misma para futuras comunicaciones con sus clientes y así proporcionar una mejora de nuestros servicios presentes y futuros y una óptima atención a nuestros clientes. La información de carácter personal que configuran nuestras bases de datos se obtienen directamente de los formularios que nuestros clientes rellenan conscientes del tratamiento de los mismos. La finalidad de la recogida y tratamiento son: . La ejecución y el mantenimiento de cualesquiera relaciones contractuales que pudiera mantener SEUR y sus usuarios y/o clientes. . La ejecución, gestión, administración, ampliación y mejora de los servicios que fuesen solicitados y/o utilizados por los usuarios y clientes. . El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil o correo ordinario. . La realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística. Asimismo, la finalidad de la recogida y tratamiento automatizado incluye el envío de formularios de opiniones sobre la página Web, que el usuario no queda obligado a contestar. (…) Cláusulas de tratamiento de datos según lo establecido en la LOPD15/99 El Cliente y/o usuario garantiza la autenticidad y veracidad de todos aquellos datos que comunique tanto en la cumplimentación de los formularios de registro como en cualquier otro momento posterior, siendo de su responsabilidad el actualizar la información suministrada, de tal forma que refleje su situación real. El usuario será responsable de la inexactitud o falta de veracidad de la información aportada. El Cliente y/o usuario consiente inequívocamente que los datos personales que nos facilite a lo largo de toda la página Web sean incorporados a los ficheros que contengan datos de carácter personal, de los que será responsable SEUR S.A, así como el tratamiento informatizado o no de los mismos con el fin de que puedan ser utilizados por SEUR S.A con una finalidad comercial personalizada o no, financiera, operativa y estadística así como actividades propias autorizando a SEUR S.A la extracción, almacenamiento de datos y estudios de Marketing al objeto de mejorar nuestra atención en el desarrollo de los servicios solicitados e informarle de nuestros actuales y futuros servicios a través de los diferentes medios que se establecen en la actual política de privacidad y confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Los usuarios que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a A.A.A. para la realización de actividades propias de su objeto social. Los usuarios que faciliten datos de carácter personal quedan informados que dicha comunicación se produce en el mismo momento en que proporcionan los datos a SEUR S.A. Todos aquellos usuarios cuyos datos sean objeto de tratamiento podrán ejercer gratuitamente los derechos de oposición, acceso e información, rectificación, cancelación de sus datos en los términos especificados en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, conforme al procedimiento legalmente establecido. Estos derechos podrán ser ejercitados dirigiendo comunicación mediante escrito con la referencia “Protección de datos” remitido a SEUR S.A., Dpto. Atención al Cliente, (C/............1) de Madrid, adjuntando fotocopia de su DNI, o enviado un correo electrónico a B.B.B. con el asunto de referencia: PROTECCION DE DATOS, incluyendo copia de su DNI. Aceptación de la Política de Privacidad y Confidencialidad Mediante este aviso, SEUR S.A., domiciliada en (C/............1) (Madrid 28031) informa a los usuarios y/o clientes de la página Web de su propiedad acerca de su política de privacidad y confidencialidad y de protección de datos de carácter personal para que puedan determinar libre y voluntariamente si desean facilitar los Datos Personales que se les puedan requerir o que se puedan recabar a través de los formularios y servicios ofrecidos por SEUR S.A en la página Web. SEUR S.A. se reserva el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales así como a los servicios ofertados en la página Web. El uso continuado de este sitio Web implica la aceptación por su parte de la Política de Privacidad y Confidencialidad de SEUR S.A>>. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada SEUR una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad SEUR debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. III El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad SEUR facilitaba a clientes y usuarios de su web mediante la Política de Privacidad insertada en la misma en el momento en que se formuló la denuncia y la accedida por el instructor durante la fase de prueba, en fecha 14/04/2014. En este caso, se ha podido comprobar que la entidad SEUR incumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del RD 1720/2007, en la medida en que dispone de formularios de recogidas de datos a través de su web seur.com, en la que se ofrece una información en materia de protección de datos, contenida en el documento “Política de Privacidad” insertado en la misma en las fechas indicadas, que no se ajusta a las previsiones normativas reseñadas. En concreto, SEUR recaba datos personales mediante tres formularios insertados en la citada web: el denominado “Envío online” (con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc.); “Contacta con nosotros” (recaba datos relativos nombre, email, teléfono, código postal y población); y “Alta de usuarios” (con espacios para cumplimentar el nombre, apellidos, NIF, email, código postal y población). La contratación de los servicios de SEUR mediante el formulario “Envío online” requiere introducir el número de socio del interesado, por lo que se entiende que la recogida de datos para su registro como tal es anterior. Se ha comprobado que, a través de la Política de Privacidad que SEUR ofrece a los usuarios de su web y clientes, la citada entidad solicita el consentimiento de los mismos para el tratamiento de sus datos personales con una finalidad comercial, para la promoción de sus propios productos y servicios, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad, en contra de lo dispuesto en el citado artículo 45 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Reglamento de desarrollo de la LOPD, y sin ofrecer una casilla u otro mecanismo válido que pueda emplearse en el momento de la recogida de los datos para que el afectado pueda oponerse a dicha utilización de sus datos personales. En concreto, a este respecto, en la citada Política de Privacidad se indica lo siguiente: “SEUR utilizará la información recogida para verificar el cumplimiento de los contratos de transporte y todos los acuerdos que derivan de los servicios de envío que realiza; con el objetivo de utilizar parte de la misma para futuras comunicaciones con sus clientes y así proporcionar una mejora de nuestros servicios presentes y futuros y una óptima atención a nuestros clientes. La información de carácter personal que configuran nuestras bases de datos se obtienen directamente de los formularios que nuestros clientes rellenan conscientes del tratamiento de los mismos. La finalidad de la recogida y tratamiento son: . El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil o correo ordinario”. “El Cliente y/o usuario consiente inequívocamente que los datos personales que nos facilite a lo largo de toda la página Web sean incorporados a los ficheros que contengan datos de carácter personal, de los que será responsable SEUR S.A, así como el tratamiento informatizado o no de los mismos con el fin de que puedan ser utilizados por SEUR S.A con una finalidad comercial personalizada o no, financiera, operativa y estadística así como actividades propias, autorizando a SEUR S.A la extracción, almacenamiento de datos y estudios de Marketing al objeto de mejorar nuestra atención en el desarrollo de los servicios solicitados e informarle de nuestros actuales y futuros servicios a través de los diferentes medios que se establecen en la actual política de privacidad y confidencialidad”. En esta información se mencionan algunos sectores de actividad a los que podrá referirse la publicidad, pero emplea fórmulas abiertas e inconcretas, refiriéndose genéricamente a “actividades propias” e, incluso, a “futuros servicios”. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
- a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
- h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. Además, según se ha indicado, en la Política de Privacidad no se ofrece al afectado una casilla que pudiera marcar para oponerse al tratamiento de sus datos con esas finalidades u otro procedimiento válido para que pudiera hacer esta manifestación en el momento mismo de la recogida de datos personales o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual…”. Obviamente, la recogida de datos mediante formularios insertados en la web y la información que se ofrece a través de la misma, objeto del presente procedimiento, nada tiene que ver con la información que se ofrece en otros formularios que se formalicen a través de otros canales, como el documento aportado por SEUR con sus alegaciones (carta de porte). Por otra parte, no puede admitirse la alegación formulada por dicha entidad para salvar los reparos apreciados en el cumplimiento del deber de información, según las cuales no envía ni pretende enviar publicidad a los usuarios registrados en su página web. Lo determinante es que solicita su consentimiento con dicha finalidad y lo hace sin respetar las exigencias que conlleva dicho deber. Finalmente, procede reseñar que la falta de información sobre los sectores de actividad a los que se referirá la publicidad de los productos y servicios de SEUR ha sido corregida en la Política de Privacidad insertada en la web de la entidad a fecha 23/07/2015, en la que se indica que el envío de información se referirá a productos y servicios propios, actuales y futuros, del sector del envío, transporte y logística. Asimismo, se comprueba que los formularios “Contacta con nosotros” y “Alta de usuarios” incluyen una casilla operativa que permite al interesado marcar la opción “No consiento el uso de mis datos para fines comerciales”. IV Por otra parte, el usuario de la web www.seur.com que facilite sus datos personales, o clientes que contraten a través de la misma, de acuerdo con la información ofrecida en la Política de Privacidad objeto del procedimiento, consiente la comunicación de tales datos a otras entidades del grupo SEUR, sin haber sido informado sobre la finalidad para la que serán cedidos, sin especificar los sectores de actividad de las empresas destinatarias y, al igual que en el caso anterior, sin ofrecer un mecanismo para que pueda oponerse a dicha comunicación de datos. En concreto, en dicha Política de Privacidad se indica: “…SEUR no trafica con la información de sus clientes, ni facilita dichos datos a terceros que no estén relacionados con la transacción realizada, salvo que Ud. haya consentido dicha operación de acuerdo con lo establecido en esta política…”. “Los usuarios que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a las entidades integrantes de la Red SEUR para la realización de actividades propias de su objeto social. Los usuarios que faciliten datos de carácter personal quedan informados que dicha comunicación se produce en el mismo momento en que proporcionan los datos a SEUR, S.A.”. El citado documento, al referir que los datos se utilizarán por las cesionarias para la realización de actividades propias de su objeto social, no cumple con las exigencias establecidas en el citado artículo 5, que obligar a determinar de modo expreso, preciso e inequívoco la finalidad de la recogida de datos; no identifica a los destinatarios de la información; y tampoco detalla los sectores de actividad de tales empresas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 En relación con lo expuesto, el citado artículo 11.3 de la LOPD establece lo siguiente: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. Y el citado artículo 5.1.
- a)de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. Es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, así como de la finalidad que la motiva, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concretos. La cesión de datos a “entidades integrantes de la Red Seur” es indeterminada, pues no concreta quienes van a ser los destinatarios de la información. No se especifica cuáles son las empresas de la red a las que se pueden ceder los datos de los clientes, ya que dicha cláusula no hace mención a las mismas, al menos con referencia a su tipo de actividad. Sin información sobre la finalidad y destinatarios no cabe admitir la cláusula informativa como suficiente para entender válido el consentimiento. Por otra parte, tampoco se cumple la obligación de ofrecer la posibilidad de oponerse a las cesiones de datos personales indicadas, establecida, según ha quedado expuesto, para el momento de la recogida de los datos. En relación con esta cuestión, SEUR ha señalado en sus alegaciones que las cesiones de datos a las entidades integrantes de la Red Seur se realizan para el transporte de mercancías, que es la actividad que constituye su objeto social y que, por ello, es de aplicación la excepción prevista en el artículo 11.2.
- c)de la LOPD. Sin embargo, la mera mención que se recogía en la Política de Privacidad sobre la posibilidad de comunicar los datos a A.A.A. “para la realización de actividades propias de su objeto social” no permite deducir la actividad de las mismas ni tampoco que la cesión tengo por objeto exclusivo la ejecución del servicio de transporte contratado. Actualmente, la Política de Privacidad insertada en la web de SEUR detalla que los datos personales pueden ser comunicados a las entidades de la Red Seur, del sector del envío, transporte y logística únicamente para la ejecución de los servicios contratados por el usuario. Se informa, por tanto, sobre la finalidad de la cesión, que no se produce con fines publicitarios ni con ningún otro fin distinto al que determinó la recogida de los datos. Por tanto, en relación con esta comunicación de datos, han de entenderse subsanadas las deficiencias apreciadas en la información ofrecida por SEUR en su Política de Privacidad. V El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 datos sean recabados del propio interesado.” En este caso, la entidad SEUR ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. SEUR ha solicitado la aplicación de este artículo, dada la inexistencia de expedientes sancionadores previos en esta materia. En esta caso, no se cumplen los presupuestos establecidos en dicho artículo, considerando que SEUR fue sancionada en materia de protección de datos de carácter personal mediante resolución dictada en el procedimiento número PS/00085/1999. En cualquier caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el artículo citado, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente la especial diligencia que se exige a las entidades que, por su actividad, realizan un alto volumen de tratamiento de datos. VII El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, sin perjuicio de las circunstancias invocadas por SEUR (ausencia de beneficios y de reincidencia, así como la inexistencia de denuncias de particulares), se tiene en cuenta la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y que la falta de información en los formularios de recogida de datos habilitados por la entidad no permite considerar que sus procedimientos de recogida de datos fuesen adecuados, circunstancias que operan todas ellas como agravantes. Estas circunstancias, que no han sido consideradas por la entidad imputada en sus alegaciones, impiden imponer una multa por el importe mínimo previsto. Por otra parte, considerando las modificaciones aplicadas por SEUR en su Política de Privacidad, reseñadas en los Fundamentos de Derecho III y IV, que subsanan los reparos que han determinado la infracción, no se tiene en cuenta la falta de regularización de dicho documento valorada en la propuesta de resolución y se modifica la cuantía de la sanción propuesta, imponiéndose una multa por importe de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SEUR, S.A., por una infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha Ley Orgánica, tipificada como leve en el artículo 44.2.
- c)de la misma norma, una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SEUR, S.A. y a la entidad INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es