PS-00134-2020

1/18 936-031219  Procedimiento Nº: PS/00134/2020 RESOLUCIÓN R/00300/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00134/2020, instruido por la Agencia Española de Protección de Datos a REAL SPORTING DE GIJÓN, S.A.D., vista la denuncia presentada por MINISTERIO DE HACIENDA - D. G. DE ORDENACION DEL JUEGO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a REAL SPORTING DE GIJÓN, S.A.D. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: E/00134/2020 935-240719 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, Club Deportivo REAL SPORTING DE GIJÓN, S.A.D. con CIF.: A33608233, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por el MINISTERIO DE HACIENDA, (D.G. DE ORDENACION DEL JUEGO), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 01/10/19, se recibe en esta Agencia escrito del MINISTERIO DE HACIENDA, (D. G. DE ORDENACION DEL JUEGO), comunicando una posible infracción al RGPD, cometida por el Club Deportivo REAL SPORTING DE GIJÓN, S.A.D. En dicho escrito se indica, entre otras, lo siguiente: “Con fecha 13/09/18, el Director General de Ordenación del Juego recibe una carta de la Directora General de Interior del Gobierno del Principado de Asturias en relación con determinada publicidad de EUROAPUESTAS ONLINE, SAU y solicitando información acerca de los términos de las autorizaciones concedidas al citado operador “para realizar actividades publicitarias y promocionales en el territorio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Principado y acerca de si estas ampararían la instalación de soportes físicos fijos en dicho territorio o la realización de un mailing con regalo de dinero”. La publicidad a la que se refería la citada Directora general consiste en la aparición de Paston.es, como patrocinador oficial en la equipación y en el campo del Real Sporting de Gijón y en el envío de correos electrónicos a los socios ofreciendo 10 euros gratis y facilitando un código promocional para ello. En respuesta a una previa comunicación de la Dirección General del Juego (DGOJ) el Real Sporting de Gijón remitió el contrato de patrocinio celebrado con ese operador, las facturas relativas a dicho patrocinio, el informe de la campaña efectuada, el modelo de alta de usuario de correo electrónico en el club y el listado de destinatarios a los que se remitieron los correos con el bono y el código promocional. La DGOJ examinó el régimen jurídico aplicable a las actividades de publicidad, patrocinio y promoción de los operadores de juego con licencia estatal (artículos 7.1 y l 10.3 de la Ley 13/2011, de 27 de mayo, de regulación del juego (LRJ), disposición transitoria primera del Real Decreto 1614/2011, de 14 de noviembre, que se dicta en desarrollo de la LRJ en lo relativo a las licencias, autorizaciones y registros del juego, Resolución de 2 de junio de 2015 por la que se otorga licencia general para el desarrollo y explotación de la modalidad de juego apuestas a EUROAPUESTAS ONLINE, SAU). A la luz de la normativa citada más arriba y de la conexión indudable que esta normativa mantiene con los títulos competenciales atribuidos al Estado en las reglas 6ª, 13ª y 14ª del artículo 149 de la Constitución española, se estimó que la Ley del Principado de Asturias 6/2014 de Juegos y Apuestas, cuyo ámbito de aplicación se remite al juego de ámbito territorial de Asturias, no resulta de aplicación y que el régimen jurídico aplicable a cualquier tipo de publicidad que realice un operador de juego en relación con su licencia de ámbito estatal se rige por las normas estatales citadas. En consecuencia, acordó proceder al archivo del expediente con referencia CO/2018/025/1065. No obstante lo anterior, se ha tenido en cuenta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 1. La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico establece en su artículo 21: “Artículo 21. Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes. 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. 2. El art. 38.3

1. c)de la Ley 34/2002 considera infracción grave el envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos del art 21”. 3. Por su parte, el apartado 4 del mismo artículo califica de infracción leve “
2. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. 4. Finalmente, el artículo 43.1 de la citada Ley 34/2002, relativo a la competencia sancionadora por incumplimientos de lo previsto en ella, establece que “la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos
3. a)y
4. b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
5. d)e
6. i)y 38.4 d),
7. g)y
8. h)de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 De acuerdo con lo expuesto, se ha considerado procedente la remisión a la Agencia Española de Protección de datos de la documentación relativa a este asunto: 1. Escrito de la Directora General de Interior del Principado de Asturias al Director General de Ordenación del Juego exponiendo sus dudas competenciales sobre las actividades publicitarias relacionadas con el patrocinio de Real Sporting de Gijón por parte del operador de juego con licencia de ámbito estatal Euroapuestas Online, SAU. 2. Documentación ilustrativa del escrito citado. 3. Requerimiento de información de la Dirección General de Ordenación del Juego (DGOJ) a Real Sporting de Gijón. 4. Respuesta de Real Sporting de Gijón aportando documentación solicitada. 5. Listado de remisiones de publicidad por correo electrónico. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 27/11/19, se dirige requerimiento informativo a la entidad reclamada y a EUROAPUESTAS ONLINE SAU. TERCERO: Con fecha 17/12/19, EUROAPUESTAS ONLINE SAU, remite a esta Agencia escrito informando, entre otras, de lo siguiente: “El 14 de agosto de 2018 EUROAPUESTAS ONLINE, SAU (PASTÓN) adoptó acuerdo de patrocinio publicitario con el REAL SPORTING DE GIJÓN, SAD, mediante la firma de un contrato. La relación de colaboración entre el CLUB, y PASTÓN, tenía como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 objeto la promoción publicitaria y uso de la imagen de PASTÓN, en los términos pactados en el mismo. (Documento 1) De las acciones e iniciativas que contiene el contrato de patrocinio publicitario acordadas entre las dos partes, debemos resaltar el punto “3.3.7 Comunidad Digital”, concretamente el acuerdo referente al “envío de 4 emails a su base de datos de usuarios” puesto que es el objeto de la presente denuncia. Con respecto al envío de estos 4 emails a los socios del CLUB, trasladarles lo siguiente; 1. PASTÓN, nunca ha tenido acceso a la base de datos titularidad del REAL SPORTING DE GIJÓN, SAD, es por ello que se desconoce las direcciones de correo electrónico de los socios del CLUB, y en consecuencia dicho desconocimiento, le imposibilita a realizar cualquier operación de tratamiento de los datos personales de los afectados. 2. Derivado de lo anterior, PASTÓN, no ha realizado comunicaciones publicitarias o promocionales por correo electrónico, a los socios del REAL SPORTING DE GIJÓN. 3. El REAL SPORTING DE GIJÓN, SAD es el único propietario y responsable del tratamiento de la base de datos, dónde obra la información de carácter personal de los socios o usuarios impactados a nivel publicitario. 4. El REAL SPORTING DE GIJÓN, SAD es quién toma, por sí mismo, la decisión relativa a los destinatarios finales a los que remitir las comunicaciones comerciales pactadas. 5. El REAL SPORTING DE GIJÓN, SAD fue quien llevó a cabo la remisión de dichas comunicaciones comerciales o promocionales, que, a pesar de haberse pactado cuatro envíos, finalmente solo se remitieron dos envíos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 6. PASTÓN únicamente decide sobre el modelo del contenido publicitario, relativo a creatividad y texto, de modo que, tal y como hemos expuesto, no toma decisión alguna sobre quiénes son los destinatarios finales de las comunicaciones comerciales. En definitiva, de acuerdo con todo cuanto se ha indicado, PASTÓN no es quién se encarga o responsabiliza del tratamiento de los datos personales, así, no define la segmentación de los destinatarios que figuran en la base de datos titularidad del REAL SPORTING DE GIJÓN, SAD y no decide a quién va dirigida la publicidad. Por tanto, PASTÓN no decide sobre la finalidad, contenido y uso del tratamiento de los datos, tan solo decide sobre el modelo del contenido publicitario, relativo a creatividad y texto. CUARTO: Con fecha 27/12/19, la entidad reclamada remite a esta Agencia, escrito de contestación al requerimiento donde, entre otras, indica que: “Cuando se recoge el consentimiento de los socios se pasa a nuestra base de datos, donde dependiendo de si ha dado su consentimiento o no en el campo de nuestro ERP —MAIL—), se marca como susceptible de recibir publicidad (mediante S e N). También se hace filtrado por edad, no remitiendo publicidad ni a menores de edad ni a personas mayores de 65 años. Adjuntamos captura de ERP (documento 1.3) que esperemos sirva de muestra sobre esta explicación. Cuando tuvimos conocimiento de la entrada en vigor del RGPD empezamos a tomar las medidas pertinentes para que nuestros tratamientos fueran conformes a la ley. En mayo de 2019 contratamos con una empresa externa la adecuación al Reglamento de Protección de Datos que analizó nuestros tratamientos, realizó una Evaluación de Impacto en la Protección de Datos y nos facilitó un plan con las acciones a tomar para cumplir con el RGPD. También se modificó la información que se facilitaba tanto a socios como a otros usuarios de nuestros servicios y se elaboró un Registro de actividades de Tratamiento. Al objeto de acreditar lo manifestado anteriormente, se adjuntan los siguientes Documentos: 1: Pruebas de la recogida del consentimiento a los socios y relación con la lista de correo donde se remite la publicidad. Pruebas de segmentación por edad. Listado Raíz datos personales. 1.2. Listado Registro envío. 1.3. Captura pantalla ERP. Documento; 2: Política externa de protección de datos; 3: Documento modelo de alta como socio. 3.1. Condiciones de compra abonados. 3.2. Consentimiento envíos comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 El documento que se pone a disposición de los socios para dar el consentimiento para el tratamiento de datos personales con fines comerciales o promocionales, se indican las opciones para que se pueden dar o no dar el consentimiento: “NOMBRE Y APELLIDOS______ Marque las siguientes casillas si no desea que El Real Sporting de Gijón S.A.D realice los tratamientos indicados: _ No deseo que se traten mis datos para el envío de boletines e información sobre actividades y servicios del club. _ No deseo que se traten mis datos para la organización de sorteos concursos y otros eventos promocionales. _ No deseo que se traten mis datos parala realización de encuestas de satisfacción a clientes o potenciales clientes. _ No deseo que se traten mis datos para la personalización de ofertas comerciales y promocionales. _ No deseo que se traten mis datos para el envío de ofertas comerciales y promocionales”. QUINTO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera lo indicado anteriormente, no cumple con la normativa vigente, por lo que procede la apertura del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso”. II En el presente caso, el documento que se pone a disposición de los socios pidiéndoles el consentimiento para el tratamiento de sus datos personales con fines comerciales o promocionales, no consta de acciones afirmativas, sino de una inacción que no asegura que el interesado otorga inequívocamente el consentimiento. Así, tomando como ejemplo la primera cuestión: “Marque las siguientes casillas si no desea que El Real Sporting de Gijón S.A.D realice los tratamientos indicados: 1.- _ No deseo que se traten mis datos para el envío de boletines e información sobre actividades y servicios del club(…)”, vemos como se solicita el consentimiento mediante un acto de inacción , en el cual si el socio desea que le envíen boletines sobre actividades del club debe dejar sin marcar la casilla. Pero este acto de, “no marcar la casilla” da lugar a preguntarse si el interesado realmente desea que le envíen los boletines o por el contrario no marcó la casilla por un despiste o cualquier otro motivo y realmente lo que deseaba es que NO le enviasen los boletines informativos, dando lugar a una situación dudosa. Este mismo ejemplo puede servir para las otras cuatro preguntas del cuestionario. En este sentido, los artículos 6 y 7 del mismo RGPD se refieren, respectivamente, a la “Licitud del tratamiento” y las “Condiciones para el consentimiento”: El artículo 6 del RGPD, indica que el tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 “
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando sea un niño. Lo dispuesto en la letra
15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
16. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
17. c)y e), deberá ser establecida por: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18
18. a)el Derecho de la Unión, o
19. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
20. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
21. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
22. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18
23. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
24. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Por su parte, el artículo 7 del RGPD indica: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Se tiene en cuenta lo expresado en el considerando 32 del RGPD en relación con lo establecido en los artículos 6 y 7 antes reseñados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 “