PS-00091-2016

1/33 Procedimiento Nº PS/00091/2016 RESOLUCIÓN: R/01961/2016 En el procedimiento sancionador PS/00091/2016, instruido por la Agencia Española de Protección de Datos a la entidad INICIATIVAS VIRTUALES S.A., LOAN CAPITAL SL, TRADETRACKER SPAIN, S.L., vista la denuncia presentada por MEDICOS SIN FRONTERAS ESPAÑA, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/02/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de MÉDICOS SIN FRONTERAS ESPAÑA (en adelante, MSF o la denunciante), en el que manifiesta que las empresas INICIATIVAS VIRTUALES,S.A., (en adelante, ELOGIA o la denunciada) y ARENILLA PARTNER, S.L., podrían haber incurrido en una presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) con ocasión de la campaña publicitaria contratada con la primera de ellas. MSF expone que ELOGIA, en virtud del contrato de Agencia Publicitaria suscrito con ella, subcontrató con ARENILLA PARTNER, S.L., el envío a las direcciones de correo electrónico que figuraban en la base de datos de la que esta es titular de una comunicación comercial sobre la labor de MSF. La comunicación comercial incluía un enlace a la “landing page” de MSF en la que existía a su vez un formulario para que, sí así lo deseaba el destinatario de la comunicación, accediera a él y facilitara sus datos personales previa lectura y aceptación de la política de privacidad, de manera que por esta vía MSF tenía la seguridad de recibir únicamente datos personales de quienes hubieran consentido su tratamiento. La infracción del artículo 6.1 de la LOPD que denuncia se concreta en el tratamiento de los datos personales de D. E.E.E.. al haberse facilitado a MSF en el desarrollo de la campaña publicitaria contratada con ELOGIA un boletín cumplimentado con los datos de esta persona en el que supuestamente aceptaba la política de privacidad y consentía recibir llamadas con fines publicitarios. En la confianza de que se había seguido el protocolo pactado en el contrato MSF realizó una llamada telefónica a D. E.E.E.. el 22/01/2015 en el curso de la cual el afectado negó haber cumplimentado ningún formulario ni facilitado sus datos y pidió explicaciones sobre el origen de los datos tratados. Reclamación que reiteró días más tarde, anunciando acciones legales, a través de un mail de fecha 25/01/2015. MSF aporta los siguientes documentos: Copia del contrato de Agencia Publicitaria suscrito el 28/06/2014 con ELOGIA y de la comunicación comercial que, con información de la asociación, se enviaba en el marco de la campaña publicitaria. La información comercial incluía un enlace que permitía llegar a la “landing page” de MSF, de la que también se aporta copia, y en la que había un formulario de recogida de datos (nombre, apellidos, teléfono, email) y una casilla sin marcar con la leyenda “He leído y acepto las condiciones de uso”. Copia del correo electrónico recibido de D. E.E.E.. el 25/01/2015 solicitado una explicación de lo ocurrido y copia de dos mails a través de los cuales la empresa con la que MSF contrató la campaña le ofreció explicaciones de lo acontecido:

1. a)Mail enviado desde el dominio elogia.net a un destinatario del dominio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/33 barcelona.msf.org, el 26/01/2015 en el que se dice textualmente: “Te paso la información sobre este registro: Captado el día 9 de enero de 2015 a las 9:31 a través de nuestra campaña de Afiliación. (…) LP en la que se registró: http://registro.msf.es................................1 Condiciones aceptadas”.
2. b)Un mail posterior, de 28/01/2015, enviado también desde el dominio elogia.net a un destinatario del dominio barcelona.msf.org con una nueva explicación de los hechos. En él se dice que ELOGIA trabaja “con la red de afiliación de TRADETRACKER”, que es una red de diferentes afiliados, uno de ellos prestamosolucion.com. Añade que “según el afiliado” el usuario (esto es, D. E.E.E.) se había registrado el 25/08/2013 en la web http://prestamosolucion.com y al registrarse había dado el consentimiento a que sus datos se cedieran a terceros para campañas de marketing on line por lo que el afiliado (prestamosolucion.com) “ha procedido a hacer un coregistro, es decir, en lugar de enviarle un email publicitario de MSF para que él se registre, lo que ha hecho es autoregistrarlo en la campaña de MSF, porque según ellos, tiene su consentimiento”. (El subrayado es de la AEPD) SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: “Con fecha 4 de agosto de 2015 se solicita información a Elogia en relación con los servicios prestados a Médicos sin Fronteras para la realización de la campaña publicitaria al objeto de captar nuevos socios y donantes según el contrato firmado entre ambas entidades con fecha 26/6/2014 y de la respuesta facilitada por la empresa el 20/6/2015 se desprende lo siguiente: 1. El origen de la base de datos utilizada está en la subcontratación realizada con la empresa Tradetracker Spain, SL. en virtud de la cláusula 1.2 y 7.2 del contrato de 26/6/2014. 2. Ni Elogia ni sus empresas del grupo conocen el diseño de dicha base de datos. 3. Asimismo desconocen el procedimiento utilizado para obtener el consentimiento de los titulares de las direcciones de correo electrónico que han sido utilizadas para realizar el envío ya que se subcontrató con Tradetracker. 4. Tradetracker se ha encargado de la realización de varios envíos a varias bases de datos. Adjuntan un ejemplo del correo electrónico que se enviaba. Aportan copia de la Orden de Pedido a Tradetracker por Ibrands no por Elogia aunque en la orden de pedido aparece impreso un sello de Elogia pero el firmante es Ibrands Medios Interactivos. No aportan copia del contrato firmado entre Elogia y Tradetracker a pesar de haber sido solicitado. 5. El procedimiento para trabajar la campaña publicitaria en formato email con Médicos sin Fronteras es el siguiente: a. Médicos sin Fronteras apruebas las creatividades y las páginas de aterrizaje sobre las que va a trabajar Elogia con las bases de datos y empresas de proveedores de afiliación de bases de datos. b. Los implementan en su plataforma añadiendo un código de seguimiento para conocer el origen de los datos. c. Envían el material a la empresa Tradetracker que se encarga de realizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/33 los envíos de la campaña publicitaria d. Reciben una prueba con el día del envío y el volumen de usuarios al que es enviada la campaña e. Si el código es correcto, la URL redirige correctamente a la página de destino y la campaña se visualiza de manera correcta dan su conformidad y se realiza el envío f. Posteriormente se hace un seguimiento de los resultados de la campaña. 6. Respecto de las medidas adoptadas para que la campaña se realice sin incumplir con la normativa de protección de datos manifiestan que al haber subcontratado la campaña a Tradetracker la empresa les envía las pruebas de los correos electrónicos que van saliendo sobre las bases de datos de sus proveedores afiliados con la que se pueden comprobar que se realiza un envío real. Por otra parte, se informa a Tradetracker de su obligación de cumplir con la normativa de protección de datos durante el servicio subcontratado en la orden de pedido. 7. No tienen constancia de reclamación alguna relacionada con los hechos sobre los que se le pregunta. Con fecha 24 de agosto de 2015 se solicita información a Tradetracker utilizando la dirección que aparece en la documentación aportada por Elogia. La carta es devuelta por el servicio de correos con el indicativo de “ausente reparto” y “desconocido”. Con fecha 18 de septiembre de 2015 se solicita información a Tradetracker utilizando la dirección que consta en su página web y de la respuesta facilitada por la empresa el día 20/10/2015 se desprende lo siguiente: 1. El origen de las direcciones de correo electrónico utilizados para el envío de la campaña publicitaria pertenece a la empresa afiliada Loan Capital, SL. 2. El afiliado es el encargado de cumplir con la normativa en la recopilación de datos y envíos. 3. El afiliado en ningún momento presentó pruebas de haber realizado envíos de email marketing cuando se le solicitaron. Se limitó a especificar que había utilizado, en ocasiones, datos de usuarios que le habían dado su consentimiento para ser utilizados con fines publicitarios. Esta actividad está prohibida en toda la red de Tradetracker y por ello se pausaron todas sus actividades promocionales incluyendo las efectuadas con Médicos sin Fronteras. 4. Adjuntan copia del contrato firmado entre Tradetracker e Ibrands Medios Interactivos, SL así como orden de pedido de Ibrands a Tradetracker para la campaña de Médicos sin fronteras sin firmar. 5. Respecto del procedimiento establecido para gestionar la campaña publicitaria objeto de la denuncia y en especial para facilitar los datos personales de los interesados a Médicos sin Fronteras o Elogia, manifiestan que el afiliado es el responsable de facilitar todos los datos requeridos previa petición. 6. En cuanto a las medidas adoptadas para que la campaña se realice sin incumplir con la normativa de protección de datos manifiestan que son las habituales de verificación de sitios afiliados y actividad de los mismos. El afiliado en cuestión que llevó a cabo los envíos no estaba autorizado para hacerlo ni teníamos constancia de ello hasta que se llevó a cabo la investigación por actividades irregulares. Con fecha 29/10/2015 se solicita información a Iniciativas Virtuales SA sobre el origen de los datos relativos a D. B.B.B., en especial su dirección de correo electrónico y número de teléfono así como copia del correo publicitario remitido a esta persona donde se pueda acreditar el correo electrónico utilizado. Con fecha 16/11/2015 responde la empresa donde manifiestan que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/33 disponen de los datos personales del Sr. B.B.B. en sus ficheros, que la empresa ha subcontratado la campaña de generación de registros para su cliente Médicos sin Fronteras con Tradetracker Spain, SL a través de su filial Ibrands Medios Interactivos, SL. No aportan ningún tipo de documentación, solo son manifestaciones. Con fecha 29/10/2015 se solicita información a Tradetracker Spain, SL sobre el origen de los datos relativos a D. B.B.B., en especial su dirección de correo electrónico y número de teléfono así como copia del correo publicitario remitido a esta persona donde se pueda acreditar el correo electrónico utilizado. Con fecha 15/12/2015 se reitera a Tradetracker Spain, SL nuevamente lo solicitado ante la ausencia de respuesta y haber transcurrido ampliamente el plazo concedido para aportar la documentación. Con fecha 22/12/2015 se recibe respuesta vía correo electrónico. En el correo manifiestan que el agente responsable de las transacciones de Médicos sin Fronteras fue Loan Capital y que la empresa no tiene ninguna responsabilidad sobre la actividad de este afiliado. No aportan ningún tipo de documentación, tampoco copia del contrato suscrito con Loan. Con fecha 11/1/2016 se contacta telefónicamente con el representante de Loan cuyos datos han sido facilitados por Tradetracker Spain, SL en su correo de fecha 22/12/2015 al objeto de solicitar una dirección de correo electrónico para informarle de la solicitud de información que se va a remitir por esta vía. Se solicita información a Loan Capital con fecha 11/1/2016 y de la respuesta facilitada con fecha 14/1/2016 se desprende lo siguiente: Aportan un documento de manifestaciones sin aportar ningún tipo de documento. Manifiestan que la campaña objeto de la presente denuncia no se realizó mediante envió de correos electrónicos de ninguna base de datos, que el Sr. B.B.B. no figura en las bases de datos de la empresa, que no se contactó con esta persona por ningún medio y no existe ningún correo publicitario de esta campaña, no existe un contrato firmado para realizar la campaña, para los pequeños afiliados tienen unos términos y condiciones que se firman con carácter general cuando te das de alta con esta empresa (se pueden ver en el enlace https://www.tradetracker.com............. Añaden respecto de la campaña de Médicos Sin Fronteras que la empresa colocó banner publicitarios en distintas web por lo que intuyen que si la persona indicada introdujo sus datos en alguno de ellos, estos van directamente a la base de datos de Iniciativas Virtuales, SA sin que en ningún momento la empresa posea esos datos.” TERCERO: Con fecha 16/02/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a INICIATIVAS VIRTUALES S.A., a TRADETRACKER SPAIN S,.L y a LOAN CAPITAL S.L., con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, , por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
3. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, INICIATIVAS VIRTUALES S.A. ( ELOGIA), mediante escrito de fecha de entrada en esta Agencia de 18/03/2016 formuló alegaciones, significando, que: -Con fecha de 26/06/2014, MSF y ELOGIA suscribieron un contrato para Publicidad con el fin de promocionar los productos y servicios de MSF a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/33 campañas de afiliación y display y de cuyo clausulado se desprende de que ELOGIA podía utilizar distintos medios para la realización de la campaña de MSF: enviando a los destinatarios comunicaciones electrónicas comerciales y/o insertando banners publicitarios en portales o redes de afiliación a las que MSF no tuviera acceso. -La campaña publicitaria contratada por MSF podía desarrollarse directamente por ELOGIA o ser subcontratada por terceras entidades. De acuerdo con la cláusula 7.2 del contrato se podían realizar dos alternativas: (
4. i)que los envíos comerciales o la inserción de banners publicitarios los realizara ELOGIA directamente sobre sus propias bases de datos y/o en sus propios portales o redes de internet; o (
5. ii)que los subcontratara con terceras entidades, de tal manera que fueran estas entidades las que efectuaran el envío sobre sus propias bases de datos o insertaran la publicidad en sus portales o redes de afiliación. Finalmente, la campaña de MSF no se desarrolló sobre bases de datos de ELOGIA ni de la empresa del grupo IBRANDS sino sobre las bases de datos de TRADETRACKER SPAIN, S.L. (TT en adelante) o sus afiliados. -la secuencia para hacer llegar leads o contactos a la landing page de MSF era la siguiente: TT (o su afiliado adherido a la campaña), como empresa subcontratada por ELOGIA, envía un correo publicitario con la información relativa a MSF. El correo publicitario se remite a un destinatario cuyos datos están incorporados a una base de datos propiedad de la empresa subcontratada (TT o su afiliado) que cumple con la normativa vigente. Si el destinario del email está interesado en colaborar con MSF, haciendo clic en la pestaña “ayúdanos” del contenido publicitario. Es dirigido a la landig page de MSF donde puede registrarse rellenando el formulario aceptando la política de privacidad de MSF. Por lo tanto, una vez que el usuario había completado el formulario con sus datos, leído y aceptado la política de privacidad de MSF, pasaban sus datos a manos de MSF, es decir, previo consentimiento informado del interesado. Y solo en ese momento ELOGIA podía haber tratado los datos como encargado del tratamiento en la medida que era prestador del servicio de hosting de la landig page que ella misma había diseñado y creado para el anunciante ya la cual eran dirigidas las personas que hacían clic en el correo publicitario. -desde el 19/11/2013 IBRANDS (colaborador y del grupo de empresas de la que forma parte ELOGIA) y TT tiene firmado un contrato de programa de afiliación para el desarrollo de las campañas que encargue sus clientes entre los que esta ELOGIA. IBRANDS en nombre de ELOGIA firmo un acuerdo específico con TT consistente en la Orden de pedido suscrita por ambas partes el 14/08/2014. En la citada ORDEN se hace constar que TT garantiza la legalidad del fichero sobre el que se harán las acciones publicitarias o de sus afiliados subcontratados. -Con el fin de evidenciar los controles y pruebas que se realizaron y el material que se suministró a TT se hace una remisión a los correos intercambiados entre TT e IBRANDS en relación con la campaña de MSF los días 29 y 30 de septiembre de 2014. La única acción que TT o sus afiliados podían llevar a cabo es el envío de correos electrónicos con el contenido publicitario que facilito IBRANDS a TT. -LOAN CAPITAL no sólo ignoro por completo las instrucciones de la campaña, sino que además llevo a cabo actuaciones fraudulentas. No envió ningún correo electrónico a su base de datos (única acción permitida) sino que introdujo ella misma manualmente los datos del denunciante en el formulario de MSF (como ha reconocido TT, en la media en que en su correo de 15/10/2015 afirma que “el afiliado en ningún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/33 momento presento pruebas de haber realizado envíos de email marketing cuando se le solicitaron”. -La entidad responsable de los hechos es LOAN CAPITAL, S.L. ELOGIA tomo medias de control sobre TT según el programa de afiliación. Desde que llevan colaborando con TT nunca hubo ningún tipo de reclamación por parte de ningún usuario ni tampoco cliente o anunciante. ELOGIA adopta las medidas de control necesarias tanto a IBRANDS como a las empresas de marketing y publicidad digital con las que subcontrate con el fin de verificar el cumplimiento del contrato y de la normativa en materia de protección de datos. Con carácter previo se comprueba que todo funciona correctamente, en particular, que el usuario no puede registrarse sin aceptar la política de privacidad y que se respeta el link de bajas de los usuarios, si deciden revocar su consentimiento. También cuenta con TRADEDOUBLE con el fin de averiguar si desde una misma IP se producen muchos registros y comprobar concordancias entre los clics y los registros. Adicionalmente lleva exhaustivos controles de calidad con sus clientes, sin que valga cualquier registro sino que el cliente tiene que validar mes a mes. Asimismo conocía los controles que TT ejerce sobre sus afiliados para el cumplimiento de la LOPD previstas en los contratos con los afiliados y en el programa de afiliación. -asimismo a través del código tracking lo único que poda conocer ELOGIA es la landing page sobre la que se hacia el registrso y los utms para diferenciar la fuente, el meido y la campaña. En el momento en que se conoce que es TT se pone en contacto y ésta le remite la información de su afiliado LOAN CAPITAL donde se lee: hemos encontrado el registró. Este cliente nos facilitó sus datos en una de nuestras web ( prestamosolucion.com) el 25/08/2013 en ese momento acepto nuestros términos y condiciones(…) Posteriormente TT informo a ELOGIA que el propio afiliado ha reconocido que procedió a un corregistro, es decir, LOAN CAPITAL en lugar de enviar un email publicitario al afectado para que se registrara, lo que hizo fue autoregistrarlo en la campaña de MSF suplantando su identidad. -admitiendo que LOAN CAPITAL solicitó a TT adhesión a la campaña, solo estaba autorizado a enviar el material promocional de MSF por email, sin embargo, no consta que hiciera ningún envío publicitario y menos al afectado. -LOAN CAPITAL y la conducta llevada a cabo, es la única causa que provoco que MSF llevara a cabo el tratamiento del número de teléfono del afectado. Dicha conducta, imposible de detectar técnicamente, está prohibida para los afiliados y supone un incumplimiento flagrante de sus obligaciones, según establecen los Términos y Condiciones de TT. -por todo ello se solicita la declaración de inexistencia de comisión de infracción por parte de ELOGIA, y con carácter subsidiario, la transformación del procedimiento sancionador en apercibimiento y con carácter subsidiario, la aplicación del art. 45.5 de la LOPD por si fuera a establecerse sanción alguna para ELOGIA. QUINTO: Notificado el acuerdo de inicio, TRADETRACKER SPAIN, S.L. mediante escrito de fecha de entrada en esta Agencia de 14/03/2016 formuló alegaciones, significando, que: -TT es un intermediario entre los anunciantes que desean promocionar sus productos y servicios, y los afiliados que desean difundir los anuncios y cobrar por ello. TT pone a disposición de las partes la tecnología, recibe del anunciante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/33 totalidad de las comisiones devengadas y las reparte entre sus afiliados. Sobre los demás interesados y su relación con TT: MSF es el anunciante e INICIATIVAS VIRTUALES (ELOGIA) es la agencia . IBRANDS es la filial de ELOGIA especializada en afiliación. LOAN CAPITAL, S.L. es uno de los afiliados que tiene TT en toda España y se unió a la plataforma el 23 de enero de 2014, a través del formulario habilitado al efecto en el siti web de registro de afiliados. El formulario solicita los datos identificativos del afiliado, asi como la información sobre su sitio web. LOAN aporto la siguiente URL www.prestamosolucion.com TT es una plataforma online de afiliación. A estos efectos, puso en contacto a Ibrands con el Afiliado, y proporcionó a ambos la tecnología necesaria para contabilizar los leads generados y devengar las comisiones pertinentes. Su función fue, por tanto, meramente técnica y de intermediación comercial. Los afiliados debían utilizar los contenidos puestos a su disposición por Ibrands en la plataforma de TT para difundirlos entre sus propios contactos, a través de los canales marcados como "permitidos" en la plataforma (esto es, email marketing y redes sociales). Como narra MSF en su denuncia, el Afiliado debía haber enviado un correo electrónico a su propia base de datos con información sobre la labor de MSF. En tal correo constaría un enlace a la landing page de MSF, que incluye un formulario para que el afectado aporte sus datos, si así lo desea. ¿Qué ocurrió en realidad? De las conversaciones mantenidas entre Loan Capital y TT se desprende que LOAN incumplió los ténninos de la campaña, utilizando medios "no permitidos" para generar más leads, y por tanto percibir una remuneración mayor de la que le correspondía. A través de una copia de seguridad antigua de uno de sus equipos, TT ha podido rescatar los logs de una conversación de Skype entre D.D.D. (empleada de TT) y A.A.A. (administrador único de Loan Capital, S.L.) que puede resultar de gran utilidad para aclarar los hechos. El 27 de enero, tras recibir una solicitud de información de TT , A.A.A. envió a D.D.D. el siguiente mensaje, en el que reconoce que los datos proceden de "una de sus webs". Posiblemente, www.creditoanticipo.com o www.prestamosolucion.com. Ambas a nombre de una tercera sociedad con la que Loan Capital comparte domicilio y objeto social: Arenilla Partner, S.L., con NIF B***********). Siempre según el Sr. A.A.A., en los términos y condiciones se incluía la posibilidad de ceder sus datos a terceros para campañas de marketing, de ahí que los hubiesen facilitado a MSF. Esta práctica se conoce en el sector como "corregistro": dándose de alta en una web, el usuario acepta que sus datos sean facilitados a otras organizaciones. Y no estaba permitida en la campaña de MSF, que como hemos dicho se ceñía a email marketing y redes sociales. Al día siguiente, D.D.D. solicita más información al Sr. A.A.A. acerca del origen de los datos de los leads generados para esta promoción. Éste reconoce lo siguiente: [28/01/2015 12:50:25] A.A.A.: en esta campaña los corregristros estarán entorno al 20% Horas más tarde, complementa esta información como sigue: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/33 [28/01/2015 17:25:23] A.A.A.: hola, los datos que me pides no los puedo sacar de mi base de datos ya que los corregistros se cogen de clientes al azar entre los interesados en este tipo de campañas para apoyarlas. para poder saber cuáles han sido corregistros y cuales naturales necesitaría que médicos sin fronteras nos enviara el listado completo de registros y de ahí te podría decir cuales si y cuáles no. Del mensaje se desprende que alguna persona con acceso a las bases de datos de Loan Capital (o de Arenilla Partner, S.L.) introdujo los datos del Sr. B.B.B. en el formulario de MSF, tras haberlos elegido al azar de entre los registros de dichas bases de datos. Ante estos datos, D.D.D. le comunica la decisión de expulsarle de la campaña, y de no abonarle las transacciones realizadas: [29/01/2015 8:54:46] D.D.D. - TradeTracker España: Buenos dias A.A.A.. Muchas gracias por tu colaboración pero el anunciante no puede proporcionar los datos de los usuarios por motivos legales. En ese caso han decidido rechazar todas las transacciones que hayáis hecho de MSF por no poder demostrar que no todas se han llevado a cabo bajo la modalidad de corregristro, que no está permitida. -Existen inexactitudes en el Acuerdo de Inicio: TT no realizó, en ningún momento, envíos de correos electrónicos a personas físicas con publicidad de MSF, ni de ningún otro anunciante. Y mucho menos, al Sr. B.B.B.. Ya que no se dedica a tal actividad. TT carece de bases de datos de personas físicas, más allá de la dedicada a gestionar su propia plantilla: es una plataforma online de intermediación entre anunciantes y soportes (afiliados), que se dedica a poner la publicidad de los primeros a disposición de los segundos, para que éstos la difundan a cambio de un precio. TT no envió pruebas de sus correos electrónicos a ELOGIA ni a IBRANDS. Almacenó (hosting) en su plataforma el material promocional de MSF, que incluía plantillas (en formato HTML) de correos electrónicos, a efectos de que sus afiliados las pudiesen descargar. Lo único que cotejó con IBRANDS fue el diseño de estas plantillas, a efectos de verificar que tanto los mensajes publicitarios como los textos legales están adecuadamente implementados. Pero, en ningún caso, correos electrónicos como tales. Son los afiliados, y no TT, los que realizan los envíos, utilizando para ello sus propios equipos, sistemas y bases de datos, y conforme a sus propios y exclusivos criterios. No consta que se haya remitido correo electrónico alguno al Sr. B.B.B.: de hecho, dicho mensaje no obra en el expediente. Al contrario, de la conversación de Skype aportada por TT se desprende que los datos del afectado fueron añadidos manualmente al formulario de la landing page de MSF. -TT no ha infringido el artículo 6.1 LOPD: Los afiliados tienen sus bases de datos propias, y remiten las campañas a los destinatarios por ellos escogidos de entre sus propias bases de datos. Y ni los anunciantes, ni las agencias, ni por supuesto TT pueden (ni deben) ser considerados responsables de la gestión que los afiliados realicen de dichos ficheros, del modo en que obtengan los datos personales que los conforman, ni de los tratamientos que realicen con los mismos. Simple y llanamente, porque estas actuaciones escapan completamente a su control. TT no tuvo acceso en ningún momento a los datos del Sr. B.B.B., ni realizó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/33 tratamiento alguno con los mismos. Ni siquiera fueron transmitidos a través de sus redes, o almacenados en sus servidores en modo alguno. Por tanto, en ausencia de tratamiento, es imposible que se le pueda imputar la comisión de la infracción reseñada, debiendo consecuentemente archivarse el procedimiento sancionador en relación con la infracción del artículo 6.1 de la LOPD, por los hechos imputados a TradeTracker. -Ausencia de culpabilidad, diligencia prestada y archivo de las actuaciones. Subsidiariamente se aplique el apercibimiento ex art 45.6 y subsidiariamente la degradación de gravedad prevista en el art. 45.5 LOPD. SEXTO: Notificado el acuerdo de inicio, LOAN CAPITAL S.L. mediante escrito de fecha de entrada en esta Agencia de 08/03/2016 formuló alegaciones, significando, que: -El Afectado no figura en las bases de datos de la empresa, fundamentalmente porque con los banners publicitarios que se colocan en las webs, la información de carácter personal que éstos pudieran recoger, nunca pasa a formar parte de nuestra base de datos, sino que directamente se almacena en la base de datos de INICIATIVAS VIRTUALES, S.L. y TRADETRACKER SPAIN, S.L. ,por lo que en ningún momento se lleva cabo un tratamiento efectivo de los datos introducidos en los banners publicitarios por parte de LOAN CAPITAL, S.L. -LOAN CAPITAL S.L., como afiliado de TT utilizó su software con la oportunidad de obtener ingresos con su sitio web. Que dicho software obtiene información de terceros a través del mismo software tal como consta en el enlace tradetracker.com/es/privacy por lo que los datos obtenidos por los banner creados con el software de TT no son tratados por LOAN a tenor de la definición dada por el art. 3. C) de la LOPD. Es posible que se pueda crear confusión al pensar que LOAN recoge datos a través de los banners por ser titular de la web en la que aparecen dichos banners. Sin embargo, en la practica la recogida de datos es responsabilidad de TT y es por ello que no puede entenderse a LOAN como responsable de tratamiento. -Conocedores de la confusión en cuanto a la titularidad de los datos, se decidió extinguir la relación contractual existente entre LOAN y TT. -Solicita el archivo por no ser ni responsable ni encargado del tratamiento de dichos datos. SÉPTIMO: Con fecha de 06/05/2016 se inició un periodo de practica de pruebas en el que se practicaron las siguientes: 1.Se dan por reproducidos a efectos probatorios la denuncia interpuesta por MEDICOS SIN FRONTERAS ESPAÑA y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante INICIATIVAS VIRTUALES S.A., TRADETRACKER SPAIN, S.L., LOAN CAPITAL S.L. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04081/2015 y las alegaciones al acuerdo de inicio PS/00091/2016 presentadas por INICIATIVAS VIRTUALES S.A., TRADETRACKER SPAIN, S.L., LOAN CAPITAL S.L. y la documentación que a ellas acompaña. 2. Se requirió a TRADETRACKER SPAN, S.L., la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/33 UNO.- Remisión del escrito de LOAN CAPITAL, S.L., formulado como alegaciones al Acuerdo de Inicio, a los efectos de que manifieste lo que estime oportuno en su defensa ya que sitúa a su mercantil como responsable del fichero donde se almacenan los datos recogidos a través de banners, señala (…)directamente se almacena en la base de datos de INICIATIVAS VIRTUALES, S.A., y TRADETRACKER SPAIN, S.L., por lo que en ningún momento se lleva cabo un tratamiento efectivo de los datos introducidos en los banners publicitarios por parte de LOAN CAPITAL, S.L.(…) DOS.- Se han aportado conversaciones de las que se deduce que LOAN ha podido hacer “corregistros” utilizando los datos de los que disponía del denunciante: ¿Estaba autorizado LOAN para usar banners que redirigían la navegación de un usuario al formulario de MSF? Y en caso afirmativo ¿formaba parte del contrato de afiliación? ¿En qué consistía el servicio de LOAN? Aporte un ejemplo real de un registro realizado por LOAN. ¿Cómo tiene acceso LOAN al formulario/landing page donde se recaban datos para la campaña de MSF? ¿Qué medida adopto ELOGIA/IBRANDS para conocer el origen del registros, más allá del código tracking tm_source=Elogia............ ¿Quién determina el diseño del procedimiento de seguimiento (código tracking)? TRES.- En la ORDEN DE PEDIDO nº 0484 de IBRANDS cuyo cliente consta TRADETRACKER, consta que el TITULAR del fichero (TRADETRACKER) garantiza que el fichero objeto del pedido en cuestión, se encuentra inscrito en el RGPD y que garantiza que cumple la normativa LOPD y LSSI. Aporte información relativa al cumplimiento de dicha garantía y explicación de cómo verifica que los usuarios registrados en dicho fichero han prestado su consentimiento de acuerdo con la LOPD y LSSI. 3. Se requirió a INICIATIVAS VIRTUALES S.A., la siguiente información: En la cláusula 7.2 del contrato entre INICIATIVAS VIRTUALES S.A. y MEDICOS SIN FRONTERAS ESPAÑA se ha constar lo siguiente: (….)..ELOGIA podrá subcontratar, en nombre y por cuenta de MSF, con terceras entidades envíos publicitarios de los productos de MSF y, en general, soportes publicitarios en la red de internet a destinatarios cuyos datos figuren en bases de datos propiedad de la empresa subcontratada y que, previamente, hayan solicitado expresamente dichas comunicaciones comerciales y no hayan manifestado su negativa a recibirlas.(…) Aporte información acerca del procedimiento o modo en el que ELOGIA verificó en la subcontratación realizada que el tercero subcontratado era titular de bases de datos con usuarios que hubieran solicitado expresamente dichas comunicaciones comerciales y que no hubieran manifestado su negativa a recibirlas. OCTAVO: Con fecha de entrada en esta Agencia de 19/05/2016, TT presentó escrito de contestación a la información requerida manifestando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/33 UNO.- Respecto del escrito de alegaciones de LOAN: El escrito presentado por Loan Capital, S.L. no trata sino de desviar la atención de la Agencia sobre el objeto de este procedimiento, mezclando conceptos y documentación que nada tienen que ver con los hechos investigados. En la fecha en la que se produjeron los hechos, bien Loan Capital, S.L, bien Arenilla Partner, S.L. (con la que comparte exactamente el mismo domicilio y objeto social), contaban con los datos del Sr. B.B.B. incorporados a sus ficheros. Así se desprende de las conversaciones de Skype ya aportadas al procedimiento, donde D. A.A.A., administrador único de Loan Capital, S.L, reconocía textualmente que "este cliente nos facilitó sus datos en una de nuestras web, el '25/08/2013". Afirma LOAN que la información que se recoge a través de los banners publicitarios nunca pasa a formar parte de sus bases de datos. Nuevamente, es posible que la empresa esté en lo cierto, pero es una información irrelevante a efectos del presente procedimiento, principalmente por tres motivos: Porque la campaña no se realizaba a través de banners, sino de plantillas HTML y enlaces de texto, bien para su remisión por correo electrónico, bien para su utilización en redes sociales. Así lo hemos manifestado en nuestro escrito de alegaciones y así se recoge en la denuncia de MSF. Porque, aun usándolos, los banners no permiten el recabado de datos de carácter personal: son simples imágenes con un enlace a una web, y en concreto a una página de aterrizaje ("landing page"). Es en esta página, alojada en los servidores de los se encuentran los formularios de recogida de datos. Anunciantes y sobre la cual TT no ejerce control alguno, en la que se encuentran los formularios de recogida de datos Porque el procedimiento no versa sobre la información recabada de banner alguno, sino de la facilitada un través del formulario presente en la web de MSF, de la que la denunciante aportó copia en su escrito, como documento 3: téngase en cuenta que MSF afirma en su denuncia que los datos del Sr. B.B.B. "aparecían en uno de los formularios que había recibido MSF". Continúa LOAN afirmando que la información que se pudiera recoger a través de los banners "...directamente se almacena en la base de datos de Iniciativas Virtuales, SA. y TradeTracker Spain, S.L, por ¡o que en ningún momento se ¡leva (
6. a)cabo un tratamiento efectivo de los datos introducidos en los banners publicitarios de Loan Capital, S.L...". Además de no existir banner alguno, esta manifestación es falsa en lo que a TT se refiere, pues no trata datos personales a efectos de marketing. LOAN prosigue informando de que utilizó el software de TT para tratar de obtener ingresos con su sitio web. En este caso, coincidimos completamente con su afirmación: como indicamos en nuestro escrito de alegaciones el objeto social de mi representada es la comercialización de un software online destinado a la realización de tareas de publicidad y marketing, y más en particular, enfocado a la actividad conocida como "marketing de afiliación". Ese, y no otro, es el papel de TT en este caso. Acto seguido, LOAN reproduce un párrafo de la política de privacidad del sitio web de TT pretendiendo utilizarlo como prueba de que el software que comercializa obtiene información de terceros. Una falacia en toda regla: el texto al que se remite corresponde exclusivamente a la página web de mi cliente, no a su software; y se refiere únicamente a los datos que TT obtiene de la interacción de los usuarios de Internet con su sitio web corporativo, no a los que recaben los afiliados o los anunciantes a raíz de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/33 utilización del mencionado software. El argumento, pues, no trata sino de confundir a esta digna Agencia. Tras afirmar que no realiza ningún tratamiento de datos, LOAN insiste en atribuir la recogida de información procedente de los banners a TT. Se trata, nuevamente, de una afirmación falsa, porque como ya se ha dicho, ni había banners, ni el sistema empleado permitía el recabado de datos de carácter personal. Nos remitimos, para evitar repeticiones innecesarias, a lo dicho en el punto anterior. Debe aclararse, finalmente, que la relación contractual entre LOAN y TT se extinguió a iniciativa de TT como se ha demostrado en nuestro escrito de alegaciones (página 10) y (en especial) en el documento aportado por esta parte como número 3. A mayor abundamiento, se aporta el registro log de la base de datos de afiliados de mi cliente, en el que se puede comprobar cómo se cambió su estatus de "activo"