PS-00089-2021

1/21  Procedimiento Nº: PS/00089/2021 RESOLUCIÓN R/00251/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00089/2021, instruido por la Agencia Española de Protección de Datos a ORANGE ESPAGNE, S.A.U., vista la denuncia presentada por A.A.A., B.B.B., C.C.C., D.D.D., E.E.E., F.F.F., G.G.G., H.H.H., I.I.I., J.J.J., K.K.K., L.L.L., M.M.M., N.N.N., Ñ.Ñ.Ñ., O.O.O., P.P.P., Q.Q.Q., R.R.R., S.S.S., T.T.T., U.U.U., W.W.W., X.X.X., W.W.W., Z.Z.Z. ---, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 25 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE ESPAGNE, S.A.U. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00089/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES DE HECHO PRIMERO: Con fecha de 21 de diciembre de 2018 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación tendentes a acreditar, en su caso, la existencia de una conducta regular y continuada de posible vulneración de la normativa de protección de datos en el ámbito de las acciones de mercadotecnia directa por parte de Orange Espagne, S.A.U. Dicho acuerdo de inicio de actuaciones de investigación tiene su origen en el análisis realizado sobre 85 procedimientos abiertos por la AEPD contra Orange Espagne, S.A.U. por realización de comunicaciones comerciales que podrían vulnerar la normativa de protección de datos. De dicho análisis se concluye que si bien se ha obtenido una respuesta satisfactoria en la mayoría de las reclamaciones interpuestas (al haber manifestado la denunciada que los datos del denunciante se incorporaban a los ficheros de exclusión de acciones publicitarias de su entidad), no dejan de poner de manifiesto que el procedimiento llevado a cabo no es el adecuado y los protocolos definidos para el tratamiento de datos para fines publicitarios podrían suponer una vulneración de la normativa de protección de datos en el ámbito de las acciones de mercadotecnia directa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación con número E/10407/2018, teniendo conocimiento de lo siguiente: En escrito de Orange Espagne, S.A.U., de 27 de febrero de 2019, de respuesta a la información solicitada por la Subdirección General de Inspección de Datos, se expone que la misma se facilita diferenciado los siguientes tres bloques; Campañas dirigidas a clientes potenciales, campañas dirigidas a cartera de clientes y depuración de bases de datos (Robinson). En lo que respecta a las campañas de SMS dirigidas a clientes potenciales manifiesta lo siguiente: -En lo que respecta a la identificación de las campañas: “Las campañas de SMS tienen como objetivo generar tráfico entrante a las numeraciones comerciales de Orange y Jazztel. La actividad se centra en los mismos grupos de marca y tipo de cliente potencial que las llamadas comerciales:  SMS Orange  Nuevo Cliente  Cartera  SMS Jazztel  Nuevo Cliente  Cartera -En cuanto al Medio o canal a través del cual se realizó la campaña: “Medio telefónico: Llamadas salientes. Medio telefónico: SMS salientes” -Respecto a la especificación detallada de los parámetros identificativos de los destinatarios de la campaña, indicando si los mismos fueron fijados por su entidad o por la compañía a la que se encargó su realización, el origen de los datos de los destinatarios de las acciones comerciales y, si los ficheros utilizados hubieran sido proporcionados por un tercero, información proporcionada sobre el origen de los datos, expone lo siguiente: “Para las campañas realizadas a través de SMS, el número total de registros, las URL,s de donde se extraen los citados registros y el volumen emitido a cada Proveedor se encuentra en cada una de las Fichas de cada proveedor que se participan a esta Agencia como Documento Anexo nº 6, (content, digital, datacentric, viaevolution, Eretail y los ficheros de BBDD Propia Orange y Propia Jazztel). El origen de los datos para la emisión de dichas campañas consta, como se ha manifestado, en cada una de las Fichas de Proveedor en las que se puede encontrar la URL a través de la que cada proveedor realiza la captación de estos leads.” El aludido anexo 6, contiene un documento denominado “Ficha BBDD propia Jazztel”. Dicho documento en formato Excel, contiene 3 pestañas.  La primera de ella denominada “BBDDpropiaOrange” contiene el siguiente cuadro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 FICHERO TITULAR / RESPONSABLE DEL TRATAMIENTO AGENCIA / ENCARGADO DEL TRATAMIENTO URL donde se recogen los registros (de todas las BBDD) URL +info/bajas para SMS de cada base jazztel y orange Fecha actualización política de privacidad  BBDD Propias C2C Jazztel Jazztel contratos Jazztel El usuario aterriza en una de las landings y o Tienda de Jazztel en donde se le da como opción de contactacion el servicio de llamada click to call (C2C). Si el cliente decide utilizar este servicio, introduce el teléfono al que le quieren que le llamen. En el caso de no aceptar las condiciones te sale un mensaje, indicando que es necesario el check. Los datos del cliente no se envían siempre y cuando no hagan check en la “política de privacidad”. XXXXXXXX 25 de Mayo 2018 La segunda pestaña denominada “operativa C2C”, siguiente manera: expone dicha operativa de la Se indica en primer lugar que “El usuario aterriza en una de las landings y o Tienda de Jazztel en donde se le da como opción de contactacion el servicio de llamada click to call (C2C)”(sic). Debajo aparece una captura de pantalla en la que en un recuadro puede leerse lo siguiente: “¿Quieres saber más? Déjanos tu teléfono y te llamamos gratis” Bajo este texto aparece un recuadro en el que puede introducirse un número de teléfono y un botón con la leyenda “Llamadme ahora”. Debajo se encuentra una casilla para marcar la aceptación de la política de privacidad, junto a un texto en el que se indica “Acepto la política de privacidad de datos”. En segundo lugar, se señala que “los datos no se envían siempre y cuando no se haga check en la política de privacidad.” Y se muestran dos capturas de pantalla. La primera es idéntica a la descrita con anterioridad con la diferencia de que aparece marcada la casilla para aceptar la política de privacidad. En la segunda, aparece también el texto “¿Quieres saber más? Déjanos tu teléfono y te llamamos gratis” y bajo este texto aparece otro con el siguiente contenido “Por razones de seguridad no pueden ser aceptadas más peticiones de este origen. Por favor intente más tarde”. En tercer lugar, se señala que “este es el texto legal que el cliente acepta antes de utilizar dicho servicio” mostrando una captura de pantalla en la que puede leerse lo siguiente: “Política de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 Tus datos serán tratados por Orange Espagne, S.A.U. (CIF. A-82009812), domicilio social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por cualquier medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE, ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar información adicional y detallada sobre nuestra Política de Protección de Datos aquí. Jazztel es una marca registrada de Orange Espagne, S.A.U.”  La tercera pestaña denominada “protección de datos” muestra una captura de pantalla que bajo el logo de Orange reproduce el texto anteriormente transcrito, con la excepción del último inciso, relativo al carácter de marca registrada de Jazztel. Entre los documentos aportados en el aludido anexo 6 figura también el documento denominado “BBDDpropia Orange” Dicho documento, igualmente en formato Excel, contiene también 3 pestañas:  La primera denominada “BBDDpropiaOrange” contiene un cuadro igual al que aparece en la primera pestaña del documento BBDDpropia Jazztel, arriba reproducido, si bien se sustituye “Jazztel” por “Orange” en todos sus apartados.  En la segunda pestaña denominada “operativa C2C”, se expone igualmente dicha operativa de la siguiente forma: En primer lugar se señala que “El usuario aterriza en una de las landings y o Tienda de Orange en donde se le da como opción de contactacion el servicio de llamada click to call (C2C)” (sic). Figura, a continuación, una captura de pantalla en la que se muestra un recuadro con los siguientes contenidos:     “En tienda online, Te llamamos GRATIS. L a V de 9-23h/ S y D de 10-22h”. Debajo aparece una casilla para introducir el número de teléfono y bajo ésta el texto “Debes indicarnos el número de teléfono donde quieres que te llamemos” Bajo éste texto, se muestra otra casilla para marcar la aceptación de la política de privacidad junto al texto “he leído y acepto la política de privacidad” Debajo aparece un botón con el texto “enviar”. Se indica, en segundo lugar, en lo que respecta a la operativa “Si el cliente decide utilizar este servicio, introduce el teléfono al que le quieren que le llamen”. Bajo esta indicación, se muestra una captura de pantalla igual a la anterior en la que se ha introducido un número ficticio. En tercer lugar, se aclara que “En el caso de no aceptar las condiciones te sale un mensaje, indicando que es necesario el check.” Y se muestra una pantalla en la que bajo la casilla para aceptar la política de privacidad se lee, destacándose con un fondo de color amarillo, el siguiente texto “Debes leer y aceptar la política de privacidad”. A continuación, se muestra una segunda captura de pantalla en la que el recuadro contiene lo siguiente: “En tienda online. En tienda online, Te llamamos GRATIS. L a V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 de 9-23h/ S y D de 10-22h” y a continuación aparece otro texto con el siguiente contenido “En breve nos pondremos en contacto contigo. Gracias” Por último, se señala que “este es el texto legal que el cliente acepta antes de utilizar dicho servicio” mostrando una captura de pantalla en la que puede leerse: “Política de Protección de Datos. Tus datos serán tratados por Orange Espagne, S.A.U. (CIF. A-82009812), domicilio social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por cualquier medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE, ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar información adicional y detallada sobre nuestra Política de Protección de Datos aquí.”  La tercera pestaña denominada “protección de datos” muestra una captura de pantalla que bajo el logo de Orange reproduce el texto relativo a la política de privacidad transcrito en el párrafo anterior. En documento Anexo 1 aportado junto con el escrito de contestación al requerimiento de información de la Subdirección de Inspección, se presenta la información relativa a la identificación de las campañas realizadas a través de SMS. Se trata de un documento Excel con dos pestañas, denominadas respectivamente “SMS Jazztel” y “SMS Orange” en las que constan los campos fecha/Volumen y Proveedor/numeración entrante/ texto del SMS. En lo que respecta a las fechas se observa que todos los meses se efectúan envíos de SMS en diferentes días, figurando entre los proveedores de Jazztel “BBDD propias C2C” junto a otros de los proveedores mencionados en el anexo

1. En cuanto al volumen de envíos desde “BBDD propias C2C” el menor número de SMS enviados en un día, en el caso de Jazztel es de 27.752, y el mayor de 1.050.
2. Igualmente, dentro del contenido relativo a SMS Orange, se observa que se realizan envíos todos los meses en diferentes días del mes figurando entre los proveedores “LEADS SMS BBDD Propia Fibra” entre otros. En cuanto al número de envíos efectuados desde “LEADS SMS BBDD Propia Fibra” en un día, el menor es de 4.029 envíos y el mayor de 67.
3. TERCERO: A fin de completar y comprobar la información proporcionada por la reclamada, los días 26/06/2019, 18/07/2019 y 25/07/2019, se realizó una inspección en las oficinas de Orange. Consta en el acta de fecha 25 de julio de 2019 lo siguiente, respecto de las campañas de publicidad mediante SMS dirigidas a potenciales clientes: “En cuanto al envío de SMS publicitarios, son enviados por ORANGE directamente. Su finalidad es generar tráfico entrante (Inbound). Se envían los SMS desde dos áreas: Televenta (con la finalidad de generar llamadas de potenciales clientes) y Online (con finalidad de recibir llamadas teleweb, dentro de la web, y recibir visitas a través de internet). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 Para el envío de SMS se utilizan “leads” propios y “leads” obtenidos a través de terceros. Se adjunta como documento 17 explicación de las equivalencias de las denominaciones de los proveedores contratados para el envío de SMS publicitarios respecto de “NetSales”, “DC-APPS” y “Leads Nurturing” CUARTO: Con fecha 7 de junio de 2019, tal y como consta en diligencia de dicha fecha, se accede al servicio “consulta tu cobertura” en la página web de Orange. Se comprueba que para realizar tal consulta se solicitan, con carácter obligatorio, los datos relativos a la dirección para la que se hace la consulta de cobertura (tipo de vía, nombre de la misma, número código postal, localidad y provincia). Se solicita, también con carácter obligatorio el dato relativo a teléfono fijo. Junto a la casilla para introducir el teléfono fijo aparece un botón con el Texto “No, no tengo teléfono fijo” y a su lado otra casilla para incluir el teléfono móvil. A continuación, aparece el texto acepto la Política de Privacidad para consulta de cobertura junto a una casilla para marcar la aceptación. Si ésta no se marca no resulta posible continuar. Junto a dicho texto existe un enlace a más información, pulsando sobre el mismo se muestra el siguiente texto: “Tus datos serán tratados por Orange Espagne, S.A.U. (CIF: A-82009812), domicilio social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad de consultar la cobertura y del envío por cualquier medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE, Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar información adicional y detallada sobre nuestra Política de Protección de Datos aquí.” QUINTO: Con fecha 27 de enero de 2020, se procede a declarar el archivo de las actuaciones previas E/10407/2018, por haber transcurrido el plazo de 12 meses desde el inicio de las mismas, de acuerdo con lo previsto en el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Asimismo, al amparo de lo previsto en el artículo 95.3 de la Ley Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas se ordena la apertura de nuevas actuaciones de investigación, incorporando a estas nuevas actuaciones la documentación que integran las actuaciones previas que se declaran caducadas. SEXTO: En el marco de las nuevas actuaciones de investigación, con número E/1689/2020, ordenadas por la Directora de la Agencia Española de Protección de Datos en la resolución a que se hace referencia en el número anterior, se accede, como consta en diligencia de 24 de noviembre de 2020, al servicio “consulta tu cobertura” en la página web de Orange.***URL.
4. Se comprueba que, al igual que se describe en el anterior número cuarto del presente acuerdo de inicio de procedimiento sancionador, se solicitan con carácter obligatorio los datos relativos a la dirección para la que se hace la consulta de cobertura (tipo de vía, nombre de la misma, número código postal, localidad y provincia). Se solicita, también con carácter obligatorio el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 dato relativo a teléfono fijo. Junto a la casilla para introducir el teléfono fijo aparece un botón con el Texto “No, no tengo teléfono fijo” y a su lado otra casilla para incluir el teléfono móvil. A continuación, junto a una casilla para marcar la aceptación aparece el texto “acepto la Política de Privacidad para consulta de cobertura”. Si no se marca dicha casilla no resulta posible continuar. Junto a dicho texto existe un enlace a más información, pulsando sobre el mismo se muestra el siguiente texto: “Tus datos serán tratados por Orange Espagne, S.A.U. (NIF: A-82009812), domicilio social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad de consultar la cobertura y del envío por cualquier medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE, Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar información adicional y detallada sobre nuestra Política de Protección de Datos aquí.” SEPTIMO: Con fecha 24 de noviembre de 2020 se accede al formulario de recogida de datos del apartado “¡O te llamamos nosotros!”, alojado en el sitio ***URL.
5. Tal y como consta, en diligencia de dicha fecha, en dicho apartado puede leerse “Llámanos gratis 900833400 ¡O te llamamos nosotros! A continuación aparece una casilla para introducir el número de teléfono y bajo esta otra casilla para marcar la aceptación de la política de privacidad, junto al enlace “acepto la política de privacidad de datos”. Al pulsar sobre dicho enlace se muestra la siguiente información: “Tus datos serán tratados por Orange Espagne, S.A.U. (CIF: A-82009812), domicilio social en ***DIRECCIÓN.1, ***LOCALIDAD.1 (Madrid), con la finalidad del envío por cualquier medio de comunicaciones comerciales sobre todos los productos y servicios desarrollados por ORANGE. La legitimación para este tratamiento es el consentimiento del interesado. Puedes revocar tu consentimiento en cualquier momento, así como ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, dirigiendo un escrito a ORANGE, Ref. “Protección de Datos”, adjuntando fotocopia de documento válido de identidad, en la dirección indicada anteriormente. Puedes consultar información adicional y detallada sobre nuestra Política de Protección de Datos aquí. Jazztel es una marca registrada de Orange Espagne, S.A.U.” OCTAVO: Se obtiene información sobre el volumen de ventas de la entidad siendo los resultados de la cifra de negocio durante el año 2019 de 4.779 670.000 €. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento sancionador. El artículo 63.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo ) LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” La disposición adicional cuarta de la LOPDGDD establece respecto del procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes que “Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” II El artículo 95 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) determina su relación con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002 relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (en lo sucesivo Directiva 2002/58/CE), al establecer que “El presente Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002”. Al respecto, la LSSICE incorpora al ordenamiento jurídico español la citada Directiva 2002/58/CE. En relación con los citados artículos del RGPD arriba mencionados y la LSSICE, se debe señalar lo siguiente: El principio de jerarquía normativa se consagra constitucionalmente en el artículo 9.3 de la Constitución Española (en lo sucesivo C.E.). El principio de jerarquía normativa se completa con el principio de especialidad, en cuanto la Ley especial prevalece sobre la Ley general. Respecto a las relaciones entre las leyes orgánicas y las ordinarias, el Tribunal Constitucional señala que el principio de jerarquía no es el adecuado para determinar las relaciones entre ambas, sino que unas y otras no se sitúan en planos jerárquicos distintos y que esas relaciones vienen dadas por las materias que se reservan a las primeras en virtud del art. 81 de la Constitución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 En el presente caso, y en relación con la materia específica que regula la LSSICE, debe prevalecer esta ley por razón de materia frente al RGPD y LOPDGDD, sin perjuicio de que la primera pueda necesitar de ser complementada -en el caso de que sea necesario- por las figuras jurídicas que desarrollan las segundas. Sin perjuicio del desarrollo posterior de los hechos ahora analizados desde la perspectiva de la citada ley especial LSSICE), debe adelantarse la definición del consentimiento contenida en el artículo 4 del RGPD según el cual “A efectos del presente Reglamento se entenderá por: 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.” III Como anteriormente se ha indicado, desde la perspectiva del RGPD figuran diversos conceptos jurídicos que complementan directamente los incorporados en la LSSICE. El artículo 21 de la LSSICE recoge de forma específica la necesidad de autorización expresa por los destinatarios de comunicaciones comerciales por medios electrónicos, estableciendo lo siguiente: “
6. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
7. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Ello, sin perjuicio de que a los efectos formales de recabar la autorización la norma aplicable sea lo dispuesto en el art 4.11 del RGPD, en relación con el art 19 de la LSSICE, que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 “
8. Las comunicaciones comerciales y las ofertas promocionales se regirán, además de por la presente Ley, por su normativa propia y la vigente en materia comercial y de publicidad.
9. En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales” En todo caso, la infracción se regula en el régimen sancionador de la LSSICE. El número 11 del artículo 4 del RGPD define el consentimiento como “Toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” Por su parte, los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud del tratamiento” y las “Condiciones para el consentimiento”: Artículo 6 del RGPD. “
10. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Artículo 7 del RGPD. “
11. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
12. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21
13. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
14. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Se tiene en cuenta lo expresado en los considerandos 32, 40 a 44 y 47 del RGPD en relación con lo establecido en los artículos 6 y 7 antes reseñados. De lo expresado en estos considerandos, cabe destacar lo siguiente: