PS-00136-2022

1/24  Procedimiento Nº: EXP202100876 (PS/00136/2022) RESOLUCIÓN PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes. ANTECEDENTES PRIMERO: Con fecha 02/07/21, tiene entrada en esta Agencia, escrito presentado por D. A.A.A. (en adelante, “la parte reclamante”), contra la entidad, AD735 DATA MEDIA ADVERTISING S.L. con CIF.: B87781795, (en adelante, “la parte reclamada”) por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y teniendo como base los siguientes hechos: “Tras ejercer mis derechos de acceso, oposición y limitación del tratamiento por recibir una comunicación comercial por SMS en mi teléfono desde el identificativo MASMOVIL sin que yo lo hubiera solicitado ni autorizado, presente una reclamación ante la AEPD por falta de contestación. La AEPD resolvió en la RESOLUCIÓN R/00155/2021 (PS/161/2021) que, en el plazo de los 10 días hábiles se me remitiera certificación por la que se atendiera el derecho ejercido o se denegara motivadamente indicando las causas, y que se comunique a la Agencia en idéntico plazo. Tras ello, he recibido una contestación de la entidad reclamada indicando que habían obtenido mis datos a través del formulario de participación en el sorteo de un viaje para dos personas publicado en el sitio web www.premiumsales.es, lo que es absolutamente falso. Tras indicarles que yo no había introducido mis datos personales a través de ese formulario, y que por tanto no contaban con mi consentimiento, la reclamada se limita a contestar que no dispone de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web. Además, esta es una estrategia recurrente de la reclamada, ya que fue igualmente utilizada en el PS/00281/2018: Nunca he facilitado mis datos a la página web www.premium-sales.es ni para participar en un sorteo ni para que mis datos fueran utilizados para fines comerciales, ni ninguna otra cosa a página web www.premium-sales.es , añadiendo que la empresa AD735 DATA MEDIA ADVERSITING, S.L. no puede probar algo que no ha ocurrido. Yo nunca he facilitado mis datos a su página web. Esta entidad ya fue sancionada en el PS/00283/2018, (multa 2.000) y está involucrada en otros procedimientos en los que se constata el incumplimiento permanente de la normativa de protección de datos (E/10918/2019, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 TD/00143/2019, TD/00035/2021). TD/00320/2019, TD/00269/2020, TD/00003/2021, SEGUNDO: Con fecha 06/08/21 Y 18/08/21, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, por parte de esta Agencia se envió sendos escritos a la parte reclamada solicitando información con respecto a lo expuesto en la reclamación. TERCERO: Con fecha 13/10/21, se recibe escrito de contestación de la entidad reclamada a la solicitud de información hecha por esta Agencia, en el cual, entre otras, indica que: “Con fecha 01/03/21 se presentó ante esa Agencia contestación al Traslado de Reclamación y Solicitud de Información número E/07541/2020 originado por una Traslado de reclamación y solicitud de información EXP202100876: Tal y como consta acreditado en el presente procedimiento, se atendió la solicitud de acceso del usuario y se dio traslado de la contestación al afectado el día 01/03/21. Posteriormente el afectado comunica a AD735 que él no participó en el sorteo organizado por AD735. El mismo día 01/03/21, se le contesta en los siguientes términos: “Como ya se ha contestado al reclamante, AD735, al igual que el resto de las empresas del sector del marketing digital y de otros sectores, no puede garantizar con absoluta certeza que los datos recibidos sean correctos. En este sentido, en ocasiones se reciben registros con indicación de nombres falsos, alias o algún dato mal indicado. A veces, se reciben registros de menores de edad que indican una fecha de nacimiento errónea para acreditar una mayoría de edad que no tienen y así poder optar a los premios promocionados. Es por este motivo que AD735 advierte a los usuarios, en la política de privacidad, de la necesidad de indicar datos exactos y veraces, además de, en el caso de suministrar datos de terceras personas, contar con el consentimiento expreso de éstas, a través del siguiente texto: “Asimismo, al pulsar el botón "PARTICIPAR", o equivalente, incorporado en el formulario de registro, declaras que la información y los datos que en ellos ha facilitado son exactos y veraces. Para que la información facilitada esté siempre actualizada y no contenga errores, deberás comunicar, a la mayor brevedad posible, las modificaciones de tus datos de carácter personal que se vayan produciendo, así como las rectificaciones de datos erróneos en caso de que detectes alguno. En el contexto de los tratamientos que, descrito en esta Política de Privacidad, es posible que suministres datos de carácter personal relativos a terceros. En este sentido, es tu responsabilidad informar de tal circunstancia a los terceros cuyos datos nos va a ceder, así como, en caso de ser necesario, obtener su consentimiento expreso para suministrarnos dicha información”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 Toda vez que el reclamante ha manifestado a AD735 que él no ha facilitado sus datos, AD735, en su calidad de responsable del fichero, procedió a la supresión de estos garantizando así el pleno ejercicio de los derechos fundamentales del reclamante en la realidad digital. Esta no es una medida excepcional, sino que AD735, adoptando en todo momento una actitud proactiva, ante cualquier evidencia o sospecha acerca de la veracidad y/o titularidad de los datos recibidos, en garantía de los derechos reconocidos en los artículos 15 a 22 del Reglamento General de Protección de Datos, procede a la limitación y/o supresión de la totalidad de los datos que configuran el registro sobre el que exista duda, así como a la exclusión del sorteo o promoción al que está asociado el registro. Entendemos que AD735 no ha incumplido la normativa existente en materia de protección de datos, no sólo porque ha puesto a disposición del usuario el consentimiento recibido, sino porque ha adoptado las medidas necesarias y a su alcance para dar satisfacción a la solicitud del reclamante. Establece el artículo 65.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: Igualmente, la AEPD podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

1. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
2. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas”. Creemos que ha quedado demostrado que AD735 DATA MEDIA ADVERTISING, S.L. ha adoptado las medidas correctivas encaminadas a poner fin al posible y supuesto incumplimiento de la legislación de protección de datos, y, además, entendemos que no se han causado perjuicios al afectado. Siendo así, interesamos dictar resolución acordando el sobreseimiento y archivo del presente procedimiento, sin imposición de sanción alguna. AD735 DATA MEDIA ADVERTISING, S.L. viene trabajando con la máxima diligencia para dar cumplimiento a la normativa vigente en materia de protección de datos de carácter personal, y respetando los principios de buena fe y de responsabilidad proactiva. Prueba de ello es que, además de las medidas organizativas y técnica sugeridas por esa Agencia, y adoptadas por AD735 para el tratamiento de datos personales en actividades de mercadotecnia, y que más adelante se indican, AD735 DATA MEDIA ADVERTISING, S.L. ha ido progresivamente adoptado las siguientes medidas: 1.- Con fecha 31 de octubre de 2018, AD735 DATA MEDIA ADVERTISING, S.L. crea la figura del Delegado de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 de Datos dentro de la empresa, y se procede a la comunicación del nombramiento a la AEPD. 2.- Con frecuencia se revisan y adaptan todos los protocolos de comunicación de los usuarios con AD735 DATA MEDIA ADVERTISING, S.L. para facilitar y optimizar el ejercicio de los derechos reconocidos en el RGPD, poniendo a su disposición para ello mecanismos sencillos, gratuitos, efectivos y rápidos para obtener satisfacción a sus demandas. 3.- Se ha configurado el texto del buzón de correo bajas@ad735.es. Se ha configurado el texto del buzón de correo dpo@ad735.es de este modo se facilita a todos los usuarios la posibilidad de ejercer sus derechos de una forma sencilla, rápida, gratuita y efectiva. Estos textos se revisan periódicamente, y se modifican cuando ello resulta necesario, buscando siempre mejorar la atención a los usuarios, y mantener actualizada la normativa legal indicada. 4.- Se ha habilitado el enlace www.ad735.es/derechosRGPDAD735.pdf, y se facilita el mismo en todas las comunicaciones que mantiene con los afectados, ya sean automáticas o personalizadas, para informarles de forma clara y comprensible de los procedimientos y cauces para el ejercicio de sus derechos. 5.- Se ha puesto a disposición de los afectados el buzón de correo electrónico dpo@ad735.es, para, y siguiendo los procedimientos legales establecidos, facilitar a los usuarios respuesta a sus dudas, y asegurarles el ejercicio de sus derechos RGPD. 6.- Se han establecido revisiones periódicas entre responsable y encargados del tratamiento, al objeto de atender todos los derechos ejercidos por los usuarios y evitar que haya usuarios que no vean satisfechas sus solicitudes. 7.- Se ha habilitado la web www.ad735.es/bajas para que los usuarios que lo deseen puedan, de una forma efectiva y automática, ejercer sus derechos de supresión/oposición. Una vez que un usuario ha ejercido su derecho de supresión, éste recibe inmediatamente la confirmación en su correo electrónico. 8.- AD735, en su trabajo diario, continúa haciendo un serio esfuerzo por actualizar los sistemas de gestión y tratamiento de los datos personales incluidos en sus ficheros para que, respetando las medidas de seguridad establecidas, los usuarios puedan ejercitar el resto de los derechos reconocidos en el RGPD de una efectiva e inmediata. AD735 DATA MEDIA ADVERTISING, S.L. ha implementado las siguientes medidas organizativas y técnicas, qué son conocidas y aplicadas por todo su personal: 1.- Medidas Organizativas. 2. Los documentos en papel y soportes electrónicos se almacenarán en lugar seguro (armarios o estancias de acceso restringido) durante las 24 horas del día. 3. No se desecharán documentos o soportes electrónicos (cd, pen drives, discos duros, etc.) con datos personales sin garantizar su destrucción. 4. No se comunicarán datos personales o cualquier información personal a terceros, se prestará atención especial en no divulgar datos personales protegidos durante las consultas telefónicas, correos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 electrónicos, etc. 5. El deber de secreto y confidencialidad persiste incluso cuando finalice la relación laboral del trabajador con la empresa. B.- Derechos de los titulares de los datos. AD735 DATA MEDIA ADVERTISING, S.L. ha informado a todo su personal acerca del procedimiento para atender los derechos de los interesados, definiendo de forma clara los mecanismos por los que pueden ejercerse los derechos (medios electrónicos, referencia al Delegado de Protección de Datos si lo hubiera, dirección postal, etc.) AD735 DATA MEDIA ADVERTISING, S.L. ha informado a todas las personas con acceso a los datos personales acerca de los términos de cumplimiento para atender los derechos de los interesados, la forma y el procedimiento en que se atenderán dichos derechos. C.- Violaciones de seguridad de datos de carácter personal. Cuando se produzcan violaciones de seguridad DE DATOS DE CARÁCTER PERSONAL, como, por ejemplo, el robo o acceso indebido a los datos personales AD735 DATA MEDIA ADVERTISING, S.L. notificará a la Agencia Española de Protección de Datos en término de 72 horas acerca de dichas violaciones de seguridad, incluyendo toda la información necesaria para el esclarecimiento de los hechos que hubieran dado lugar al acceso indebido a los datos personales. La notificación se realizará por medios electrónicos a través de la sede electrónica de la Agencia Española de Protección de Datos en la dirección: https://sedeagpd.gob.es Medidas Técnicas: 1. Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos personales y fines de uso personal se dispondrá de varios perfiles o usuarios distintos para cada una de las finalidades Debiéndose mantener separados el uso profesional y personal del ordenador. 2. Se dispondrá de perfiles con derechos de administración para la instalación y configuración del sistema y usuarios sin privilegios o derechos de administración para el acceso a los datos personales. Esta medida pretende garantizar que en caso de ataque de ciberseguridad puedan obtenerse privilegios de acceso o modificar el sistema operativo. 3. Se garantizará la existencia de contraseñas para el acceso a los datos personales almacenados en sistemas electrónicos. La contraseña tendrá a menos 8 caracteres, mezcla de números y letras. 4. Cuando a los datos personales accedan distintas personas, para cada persona con acceso a los datos personales, se dispondrá de un usuario y contraseña específicos que permitan una identificación inequívoca. 5. Se garantizará la confidencialidad de las contraseñas, evitando que queden expuestas a terceros. En ningún caso el personal de AD735 DATA MEDIA ADVERTISING, S.L. compartirá las contraseñas ni dejará anotadas las misma en lugar común y con acceso de personas distintas del usuario. Deber de salvaguarda: actualización de ordenadores. Malware. Cortafuegos. Cifrado de datos. Copia de seguridad. CUARTO: Con fecha 25/10/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 presentada, de conformidad con el artículo 65 de la LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 02/02/22, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 58.1 del RGPD. SEXTO: Con fecha 17/02/22, se recibe escrito de contestación de la entidad reclamada al requerimiento de información hecho por esta Agencia, en el cual, entre otras, indica: “Acreditación del origen del número de teléfono del reclamante recabado a través del sitio web https://www.premium-sales.es: Que, en atención al requerimiento efectuado por esa Agencia, venimos a aportar al presente procedimiento acreditación del origen de los datos del afectado, consistente en los siguientes documentos: 1. DOC 1.- Fichero log justificativo de los datos personales recibidos del afectado, a través del formulario habilitado en el sitio web https://www.premium-sales.es. 2. DOC 2.Captura de pantalla del formulario desde el que se recibieron los datos personales del afectado”. SÉPTIMO: Con fecha 11/03/22, por parte de esta Agencia se ha podido constatar las siguientes características en los formularios existentes en la página web https://www.premium-sales.es: Antes de poder enviar cualquier formulario existente en la página web http://prb.premium-sales.es/sorteos/.../ se debe aceptar obligatoriamente la política de privacidad de web: Sobre Captura de pantalla del formulario de registro: Comprobado el funcionamiento de este formulario en el sitio web https://www.premium-sales.es se verifica que es necesario seleccionar las siguientes condiciones: - _ He leído y acepto la política de privacidad AD735 Data Media Advertising SL. También existe la posibilidad de ofrecer el consentimiento para recibir comunicaciones comerciales y/o transferir los datos personales a terceras empresas relacionadas: - _ Acepto recibir comunicaciones comerciales por parte de AD735 sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de AD735 - _ Acepto que AD735 ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de AD735 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 - _ MARCAR TODAS LAS OPCIONES ANTERIORES A continuación de cada una de las tres primeras condiciones existe un icono con una “i”, que, al pulsar sobre él, se abre una ventana emergente de información. En el primer caso, se muestra una versión resumida de la política de privacidad, en los dos subsiguientes casos, informan de los sectores a los que se podrán ceder los datos del usuario. Sobre la documentación presentada por la parte reclamada el 17/02/22, el Fichero log justificativo de los datos personales recibidos del afectado, a través del formulario habilitado en el sitio web https://www.premium-sales.es, se observa que se trata de un extracto del fichero de registro en el cual constan los siguientes datos del reclamante: nombre, apellidos, teléfono, domicilio completo, dirección IP de sesión, fecha y hora de alta. Se comprueba que el nombre, apellidos, y número de teléfono coinciden con los del reclamante. La fecha de alta de los datos es de 23 de julio de 2019. Dada la antigüedad de la utilización de la dirección IP para este procedimiento de alta en el sorteo, no se pueden realizar actuaciones de investigación sobre este dato ya que excede la obligatoriedad de conservación de éste según lo establecido en el artículo 5.1 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. OCTAVO: Con fecha 10/06/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en el artículo 7.1 RGPD, al no poder corroborar que los datos del reclamante fueron obtenidos lícitamente del formulario incluido en la página web https://www.premium-sales.es, con una sanción inicial de 5.000 euros (cinco mil euros). NOVENO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 29/06/22 formuló, en síntesis, las siguientes alegaciones: PRIMERA. - En el presente procedimiento se acuerda “PROCEDIMIENTO SANCIONADOR a la entidad, AD735 DATA MEDIA ADVERTISING S.L. con CIF.: B87781795, por la infracción del artículo 7.1 RGPD, al no poder corroborar que los datos del reclamante fueron obtenidos lícitamente del formulario incluido en la página web https://www.premium-sales.es ”. Así, se considera que, de la simple declaración del afectado alegando que no ha cumplimentado el formulario y participado en el concurso indicado por el responsable del fichero, “no se encuentran evidencias suficientes para poder determinar con certeza si fue el reclamante quien facilitó, o no, sus datos en el sitio web de sorteos mencionado”. Consideramos que la apertura del presente procedimiento sancionador, basado únicamente en una manifestación del afectado en el que afirma que no cumplimentó un formulario ni ha participado en un concurso, sin aportar indicio racional alguno de la existencia de infracción, supone una clara vulneración del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 principio de presunción constitucional. de inocencia reconocido en nuestro texto El derecho a la presunción de inocencia, en el ámbito administrativo, comporta: Inicio Procedimiento Sancionador PS/00136/2022; - que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; - que la carga de la prueba (onus probandi) corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. Así, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha señalado en su recientísima Sentencia de fecha 22 de febrero de 2022, (rec. 26/2020) que “Falta de aportación de indicios racionales de la existencia de infracción que es lo acontecido en el presente supuesto, según deriva de las consideraciones de las resoluciones impugnadas, que razonan que el actor fundamenta la presunta vulneración de la normativa de protección de datos en meras manifestaciones, sin aportar pruebas que acrediten que se haya cometido una infracción. Añadiendo la AEPD que, al ser de aplicación, al derecho administrativo sancionador, con alguna matización, los principios inspiradores del orden penal, resulta clara la plena virtualidad del principio de presunción de inocencia, de conformidad con lo previsto en el artículo 53.2.
3. b)de la LPACAP”. Por otra parte, en el artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, que ha adaptado el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril, se establece que “La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción”. En relación con este artículo, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en la misma sentencia reseñada, indica que este precepto “contempla una inadmisión a limine, es decir, de oficio, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación, en los supuestos, entre otros, en que la cuestión planteada no aporte indicios racionales de la existencia de una infracción”, como entendemos que ha sucedido en este caso, en el que el afectado se limita a negar su participación en un sorteo sin aportar indicios racionales de la existencia de una infracción por parte de AD735 DATA MEDIA ADVERTISING, aun cuando está le aportó certificado de obtención de sus datos personales. La misma Sección 1ª, en su sentencia de 31 de enero de 2022 (rec. 2058/2019), viene a indicar que cuando no hay prueba de vulneración alguna de la LOPD, debe primar el principio de presunción de inocencia. Con respecto al Principio de Presunción de Inocencia, éste está recogido como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 derecho fundamental en el artículo 24.2 de nuestro Texto Constitucional. Configurado como un derecho propio del ordenamiento penal, la jurisprudencia, por afinidad, ha hecho extensible el mismo al procedimiento administrativo sancionador. El Principio de Presunción de Inocencia garantiza no sufrir sanción en el orden administrativo sancionador, sin previa actividad probatoria. Garantiza, además, un periodo de prueba que dé como resultado una prueba de cargo, qué en el presente procedimiento no existe. En virtud de este principio, corresponde al reclamante, probar la certeza de los hechos imputados, y en ningún caso está obligado el expedientado a probar su inocencia, al venir amparado por la presunción de inocencia constitucional. Sin que sea bastante una denuncia que inicie un expediente sancionador, pero que no constituya prueba de infracción. Sobre el principio de presunción de inocencia, nuestro Tribunal Constitucional, ha tenido ocasión de pronunciarse y sentar doctrina respecto del periodo probatorio, teniendo por resuelto que [Sentencia 76/90 de 25 de abril (FJ.8º)] “cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. SEGUNDA.- Por parte de AD735 DATA MEDIA ADVERTISING, se atendió la solicitud del usuario y se aportó certificado de acceso a sus datos personales y el requerimiento efectuado por esa Agencia Española de Protección de Datos. Adicionalmente a la aportación del certificado de obtención de datos personales y contestación al requerimiento efectuado, adjunto al presente documento se aporta la siguiente documentación, acreditativa de la obtención del consentimiento del afectado como base de legitimación para el tratamiento de sus datos personales para fines de mercadotecnia directa: Documentos Uno, Certificado Tabla Registro emitido por el responsable del tratamiento de los datos personales, con la descripción del registro de actividad recogida en el log de la página web y acciones realizadas por la IP asociada al registro del teléfono del reclamante. Entendemos que con la aportación de la nueva documental se elimina la existencia de cualquier duda razonable sobre la obtención del consentimiento del reclamante o de un tercero para el tratamiento, a pesar de las manifestaciones reiteradas del aquel en el sentido de no haber prestado su consentimiento para el tratamiento de los datos que dieron origen al presente procedimiento sancionador, y, consiguientemente, decaería el juicio de reprochabilidad subjetiva como elemento subjetivo para la imposición de sanciones administrativas. Como ya ha tenido ocasión de pronunciarse esa Agencia, lo anterior ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de inocencia reconocido en el artículo 24.2 de la Constitución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/ 2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho de presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad” y determina al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
4. b)a la presunción de no existencia de responsabilidad mientras no se demuestre lo contrario”. Todo esto, entendemos, debe tener como consecuencia que se atiendan las alegaciones vertidas por el AD735 DATA MEDIA ADVERTISING, y, en consecuencia, se dicte resolución acordando el archivo del presente procedimiento contra la entidad por la infracción del artículo 7.1 RGPD. TERCERA.- Por todo lo expuesto, entendemos que, con la documentación aportada por la responsable del tratamiento, queda suficientemente demostrado que AD735 DATA MEDIA ADVERTISING ha efectuado un correcto tratamiento de los datos personales del afectado bajo el amparo de la causa legitimadora recogida en el artículo 6.1.
5. a)del RGPD, y ha llevado a cabo éste de forma respetuosa con la normativa en materia de protección de datos de carácter personal vigente en cada momento. De contrario, nada se alega por el reclamante, más allá de la no cumplimentación del formulario indicado por la reclamada, ni de su participación en el concurso, circunstancia ésta que no es suficiente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 enervar el principio de presunción de inocencia que ampara a la responsable del tratamiento. En ningún momento se aporta indicio racional alguno de la existencia de una infracción por parte de AD735 DATA MEDIA ADVERTISING. CUARTA.- AD735 DATA MEDIA ADVERTISING trabaja para garantizar el ejercicio de los derechos de sus usuarios, y el uso legal y ético de sus datos de carácter personal e implementar las medidas necesarias para ello” Junto al escrito de alegaciones se presenta el “Certificado Tabla Registro” emitido por el responsable del tratamiento de los datos personales de la entidad, con la descripción del registro de actividad recogida en el log de la página web, https://www.premium-sales.es y certificado de las acciones realizadas a través de la IP asociada al teléfono ***TELÉFONO.1: “CERTIFICADO TABLA DE REGISTRO D. B.B.B., mayor de edad, con D.N.I. (…), domicilio en ***DIRECCION.1, autorizado como representante legal de la empresa AD735 DATA MEDIA ADVERTISING, S.L., Madrid y C.I.F. B8871795 CERTIFICA En este documento se presentan los datos registrados en el acceso a la página web del Sorteo de un Abono de Futbol perteneciente a AD735 DATA MEDIA ADVERTISING, S.L. del teléfono sobre el que se solicita el acceso a los datos de su registro. En este documento se presenta el registro de actividad recogidos en el log de la página web y acciones realizadas por la IP asociada al registro de este teléfono. Teléfono para el que se solicita acceso: ***TELÉFONO.1 URL de registro: http://www.prb.premium-sales.es Sorteo de Registro: http://prb.premium-sales.es/sorteos/futbol/ A continuación, se muestran los datos del registro y de la actividad realizada por el usuario con sus tiempos y el detalle de las acciones realizadas: » Servidor: preiumsppnw1.mysql.db > Base de datos: premiumsppnew1 > Tabla: sorteos 3. SELECT * FROM sorteos _3 WHERE teléfono = ***TELÉFONO.1 id nombre apellidos genero email teléfono fechnac fechlnsercion C/ Jorge Juan, 6 28001 – Madrid (…) A.A.A. (…) ***TELÉFONO.1 2019-07-23 www.aepd.es sedeagpd.gob.es 12/24 comunicación envlerceros IP dirección localidad provincia codpost referencia S S (…) ***DIRECCIÓN.2 (…) (…) (…) NULL DÉCIMO: Con fecha 14/11/22, el instructor del expediente emitió propuesta de resolución donde se proponía que, por parte de la Directora de la Agencia Española de Protección de Datos se procediera a ARCHIVAR el presente procedimiento sancionador a la entidad reclamada con arreglo a lo dispuesto en los artículos 63.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta infracción del artículo 7.1 del RGPD, al considerar que no existía, en este caso, vulneración de dicho precepto, pues presentaba como prueba el “log del formulario de la página web www.premiumsales.es” , obtenido el 23/07/19 a las 16:44 horas, donde el nombre, apellidos y número de teléfono, coincidía con los datos del reclamante aportados en su escrito de reclamación. DÉCIMO PRIMERO: Con fecha 24/01/23, por parte de la Directora de la Agencia de la Agencia Española de Protección de Datos se notifica a la parte reclamada la concesión de un plazo de quince días, de acuerdo con el artículo 90.2 de la LPACAP, para que pudiera alegar cuanto considerase en su defensa por la presunta infracción del artículo 7.1 del RGPD, al considerar, en este caso, que el responsable sólo acredita que alguien se registró e introdujo los datos del reclamante, pero no acredita que fuera el propio reclamante el que se dio de alta o realizado con su permiso, por lo que, se considera que existe vulneración del artículo 7.1 RGPD, al no poder corroborar que los datos del reclamante fueron proporcionados por él mismo. DÉCIMO SEGUNDO: Con fecha 21/02/23, la entidad reclamada presente escrito de alegaciones en el que indica lo siguiente: “PRIMERA.- Se indica en la resolución que ahora se viene a contestar que “En este caso, el responsable sólo acredita que alguien se registró e introdujo los datos del reclamante, pero no acredita que fuera el reclamante el que se dio de alta”. Sin embargo en el presente procedimiento sancionador se ha acreditado la trazabilidad del consentimiento del afectado, la ausencia de toda prueba de cargo que justifique la sanción propuesta y por tanto la vulneración del principio de presunción de inocencia que debe regir la potestad sancionadora de la Administración, la vulneración del principio de interdicción de la arbitrariedad de la Administración y, entendemos, que una errónea valoración de la prueba practicada, tal y como venimos a detallar en los siguientes ordinales. SEGUNDA.- En el presente asunto se acuerda la imposición de una sanción a AD735 DATA MEDIA ADVERTISING separándose de la propuesta de resolución emitida por el instructor del expediente, así como del criterio seguido en asuntos anteriores, Ej. Expediente N.º: EXP202101XXX, en el que en su resoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 lución de fecha 29 de agosto de 2022, se acuerda archivar el procedimiento puesto que, como se indica en sus fundamentos de derecho: En relación con lo anterior, se considera que si bien inicialmente existían evidencias de que el tratamiento de datos de la persona que supuestamente Procedimiento Sancionador PS/00136/2022 (EXP202100XXX) rellenó el formulario del sorteo y su cesión a terceros, objeto de esta reclamación, se habría efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD, la aportación de nueva documentación por el reclamado hace que tales evidencias sino resultan del todo refutadas si al menos resulten cuestionadas, lo que hace imposible llegar a la certeza sobre la comisión de la infracción El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. BICLAMEDIA aporta como acreditación de la obtención del consentimiento para la realización de las actividades de tratamiento, a las que se refiere la reclamación, nuevos documentos (ficheros log y certificado de la tabla de registro) lo que podría suponer la constatación de actividades de obtención del consentimiento de las personas que acceden a la página web objeto de la reclamación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: ARCHIVAR el procedimiento PS/00578/2021, iniciado a la entidad BICLAMEDIA, S.L., con NIF B87022117”. Sorprende a esta parte que en el presente asunto se aplique una doctrina de la Audiencia Nacional del año 2006 y un criterio distinto al aplicado en la anterior resolución, cuando los hechos acreditados y la actividad probatoria desarrollada en ambos procedimientos guardan una similitud incuestionable. Entendemos que esta diferencia de criterio a la hora de resolver dos asuntos similares conlleva una clara vulneración del principio constitucional recogido en el artículo 9.3 que garantiza la interdicción de la arbitrariedad. TERCERA.- Se indica en la resolución de 23 de enero de 2023 que “En estos casos, el reclamado puede establecer procedimientos para constatar que el alta se realiza por el titular de los datos, como, por ejemplo, enviar un SMS o realizar una llamada de confirmación, sobre todo cuando el objeto principal de la actividad del responsable es obtener datos con fines publicitarios”. Uno de estos medios utilizados por AD735 DATA MEDIA ADVERTISING para constatar la validez de las altas es la trazabilidad del dato con las herramientas de gestión de datos utilizadas y que han permitido demostrar el origen y licitud del dato, conservar prueba de ello y que, además, posibilita la detección de leads incorrectos (reiterados, IPs idénticas, fecha y hora de registro consecutivas, etc.). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 Por otra parte, las soluciones propuestas por esa Agencia, envío de SMS o llamada de confirmación, no garantizan con absoluta seguridad el hecho de que quien se da de alta en una web, en una promoción, en una acción comercial, etc., sea su titular. Así, si se requieren varios datos, ej. correo electrónico y teléfono o dirección postal, uno de ellos, por error y/o voluntariamente, puede ser introducido de manera incorrecta y perderse esa prueba. Un ejemplo claro de esto es el menor que para participar en alguna promoción en la que se requiere reflejar un teléfono de contacto, introduce los datos de uno de los progenitores, pero su propio correo electrónico a los efectos de confirmar la participación. En este caso, el titular de los datos es el progenitor, sin embargo, quien ha manifestado el consentimiento rellenando el formulario, pero sin conocimiento del tercero titular, es el menor que, a posteriori, confirma la participación mediante un check incluido en el correo electrónico que ha recibido, con la esperanza de que si resulta premiado en la promoción puede convencer a su progenitor para recibir el premio. Tampoco se garantiza con absoluta seguridad que quien completa un formulario sea el titular de los datos personales introducidos cuando esta acción se realiza a través un ordenador público o de uso compartido por varias personas. Incluso cuando nos relacionamos con la Administración el consentimiento del titular tampoco está garantizado, por ejemplo, cuando una persona accede a una notificación con un certificado digital de una tercera persona del que dispone, al principio con consentimiento, pero en el momento del acceso a la notificación, no. Es por tanto evidente que existen numerosas situaciones, incluso de las propuestas por esa Agencia, en las que es imposible asegurar con absoluta certeza que una persona, física o jurídica, ha obtenido el consentimiento para el tratamiento de los datos personales de su titular. CUARTA.- Consideramos que el presente procedimiento sancionador, basado únicamente en una manifestación del afectado en el que afirma que no cumplimentó un formulario ni ha participado en un concurso, sin aportar indicio racional alguno de la existencia de infracción, supone una clara vulneración del principio de presunción de inocencia reconocido en nuestro texto constitucional, máxime cuando AD735 DATA MEDIA ADVERTISING, siguiendo la doctrina de la Audiencia Nacional reseñada en la resolución de fecha 23 de enero de 2023, ha recabado el consentimiento del afectado, ha conservado la prueba del cumplimiento de su obligación y lo ha acreditado ante esa Agencia mediante la trazabilidad de los datos obtenidos. El derecho a la presunción de inocencia en el ámbito administrativo, que entendemos vulnerado, comporta: - que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; - que la carga de la prueba (onus probandi) corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y - que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 Así, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha señalado en su recientísima Sentencia de fecha 22 de febrero de 2022 (rec. 26/2020), por tanto, muy posterior a la doctrina que sustenta la resolución que venimos a contestar, que “Falta de aportación de indicios racionales de la existencia de infracción que es lo acontecido en el presente supuesto, según deriva de las consideraciones de las resoluciones impugnadas, que razonan que el actor fundamenta la presunta vulneración de la normativa de protección de datos en meras manifestaciones, sin aportar pruebas que acrediten que se haya cometido una infracción. Añadiendo la AEPD que al ser de aplicación, al derecho administrativo sancionador, con alguna matización, los principios inspiradores del orden penal, resulta clara la plena virtualidad del principio de presunción de inocencia, de conformidad con lo previsto en el artículo 53.2.
6. b)de la LPACAP”. Por otra parte, en el artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, que ha adaptado el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril, se establece que “La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción”. En relación con este artículo, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en la misma sentencia reseñada, indica que este precepto “contempla una inadmisión a limine, es decir, de oficio, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación, en los supuestos, entre otros, en que la cuestión planteada no aporte indicios racionales de la existencia de una infracción”, como entendemos que ha sucedido en este caso, en el que el afectado se limita a negar su participación en un sorteo sin aportar indicios racionales de la existencia de una infracción por parte de AD735 DATA MEDIA ADVERTISING, aun cuando está le aportó certificado de obtención de sus datos personales. La misma Sección 1ª, en su sentencia de 31 de enero de 2022 (rec. 2058/2019), viene a indicar que cuando no hay prueba de vulneración alguna de la LOPD, debe primar el principio de presunción de inocencia. Con respecto al Principio de Presunción de Inocencia, éste está recogido como derecho fundamental en el artículo 24.2 de nuestro Texto Constitucional. Configurado como un derecho propio del ordenamiento penal, la jurisprudencia, por afinidad, ha hecho extensible el mismo al procedimiento administrativo sancionador. El Principio de Presunción de Inocencia garantiza no sufrir sanción en el orden administrativo sancionador, sin previa actividad probatoria. Garantiza, además, un periodo de prueba que dé como resultado una prueba de cargo, qué en el presente procedimiento no existe. En virtud de este principio, corresponde al reclamante, probar la certeza de los hechos imputados, y en ningún caso está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 obligado el expedientado a probar su inocencia, al venir amparado por la presunción de inocencia constitucional. Sin que sea bastante una denuncia que inicie un expediente sancionador, pero que no constituya prueba de infracción. Sobre el principio de presunción de inocencia, nuestro Tribunal Constitucional, ha tenido ocasión de pronunciarse y sentar doctrina respecto del periodo probatorio, teniendo por resuelto que [Sentencia 76/90 de 25 de abril (FJ.8º)] “cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. QUINTA.- Entendemos que con la actividad probatoria incorporada al presente expediente sancionador se elimina la existencia de cualquier duda razonable sobre la obtención del consentimiento del reclamante para el tratamiento de sus datos personales, a pesar de las manifestaciones reiteradas del aquel en el sentido de no haber prestado su consentimiento para el tratamiento de los datos que dieron origen al presente procedimiento sancionador, y, consiguientemente, decaería el juicio de reprochabilidad subjetiva como elemento subjetivo para la imposición de sanciones administrativas. Entendemos, igualmente, que de la actividad probatoria aportada por la reclamada, tal y como señala el Instructor del procedimiento, y así ha servido en anteriores asuntos dirimidos por esa Agencia Española de Protección de Datos, resulta evidencia suficiente para poder determinar que los datos del reclamante fueron incluidos en el formulario web de AD735 DATA MEDIA ADVERTISING a través del teléfono móvil del reclamante, o cuando menos, que si existe alguna evidencia de que el tratamiento de datos de la persona que supuestamente rellenó el formulario del sorteo, objeto de esta reclamación, se habría efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD, estas al menos resulten cuestionadas, haciéndose imposible llegar a la certeza sobre la comisión de una posible infracción. Como ya se ha pronunciado reiteradamente esa Agencia, lo anterior ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Prueba de cargo que no existe en el presente caso, toda vez que la única prueba aportada al procedimiento sancionador es Procedimiento la que ha practicado la reclamada acreditando la trazabilidad de la obtención del consentimiento. Como ya hemos tenido ocasión de manifestar, el Tribunal Constitucional (SSTC 131/2003 y 242/ 2005, por todas) se ha pronunciado en ese sentido al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 indicar que una de las exigencias inherentes al derecho de presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “responsabilidad” y determina al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
7. b)a la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Por todo lo expuesto, en consonancia con lo anterior, y toda vez que no existe prueba de cargo, que la reclamada ha acreditado la obtención del consentimiento del afectado en el presente procedimiento y que la actuación de ésta no puede calificarse ni de dolosa ni de culposa ya que ha adoptado las medidas necesarias para garantizar el cumplimiento de la obligación establecida en el artículo 7.1 del RGPD, entendemos, que la consecuencia no puede ser sino que se atiendan las alegaciones vertidas por el AD735 DATA MEDIA ADVERTISING, y, en su virtud, se dicte resolución acordando el archivo del presente procedimiento contra la entidad reclamada por la infracción del artículo 7.1 del RGPD. En virtud de lo expuesto, SOLICITO A LA DIRECTORA DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito y sus documentos adjuntos, los admita, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el cuerpo del presente escrito, se sirva de dictar resolución acordando el sobreseimiento y archivo del Procedimiento Sancionador PS/00136/2022, sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad por parte AD735 DATA MEDIA ADVERTISING, S.L., por haber sido su actuación conforme a la vigente normativa en materia de protección de datos personales, y no haberse conculcado los derechos reconocidos en el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) y demás normativa de aplicación, así como todo lo demás que en Derecho proceda. HECHOS PROBADOS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada, ha quedado acreditadas los siguientes hechos: Primero: Según indica el reclamante en su escrito de reclamación de fecha 02/07/21, él nunca participó en el sorteo que se celebraba a través de la página web de la entidad reclamada (www.premium-sales.
8. es)pues, según él nunca había prestado sus datos personales a dicha entidad para ningún fin. Segundo: En el escrito presentado por la entidad reclamada en esta Agencia el 03/10/21, reconoce que no dispone de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web y le confirma al propio reclamante que “(…) En casos como el suyo, y ante cualquier evidencia o sospecha acerca de la veracidad y/o titularidad de los datos recibidos a través de cualquiera de los formularios habilitados, AD735 DATA MEDIA ADVERTISING, S.L., en garantía de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR), procede a la limitación y/o supresión de la totalidad de los datos que configuran el registro(…)” Tercero: Iniciado el procedimiento sancionador, la entidad reclamada, en el escrito de alegaciones a la incoación del expediente presentó, junto con el escrito de alegaciones, un certificado Tabla Registro emitido por el responsable del tratamiento de los datos personales, con la descripción del registro de actividad recogida en el log de la página web y acciones realizadas por la IP asociada, según declara la reclamada, al registro del teléfono del reclamante. Los datos presentados en el certificado del DPD de la entidad reclamada, obtenidos el 23/07/19 a las 16:44 horas, como el nombre, los apellidos y número de teléfono coinciden con los datos del reclamante aportados en su escrito de reclamación. Dada la antigüedad de la utilización de la dirección IP para este procedimiento de alta en el sorteo, no se ha podido constatar la información sobre este dato ya que excede la obligatoriedad de conservación de éste según lo establecido en el artículo 5.1 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. FUNDAMENTOS DE DERECHO ICompetencia. De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 IISíntesis de los hechos acaecidos: Según la entidad reclamada, ésta había obtenido los datos personales del reclamante a través del formulario de participación en el sorteo de un viaje para dos personas publicado en el sitio web www.premium-sales.es, lo que, según el reclamante no era cierto pues nunca había incluido sus datos personales en dicha página ni había prestado sus datos personales a dicha entidad. Solicitada información por parte de esta Agencia a la entidad reclamada sobre lo indicado en la reclamación, ésta reconocía que no podía garantizar con absoluta certeza que los datos recibidos en el formulario fueran realmente proporcionados por el reclamante pues, en ocasiones se reciben registros con indicación de nombres falsos, alias o algún dato mal introducido. Es por ello, que se inicia procedimiento por la presunta vulneración del artículo 7.1 RGPD, al no poder garantizar la entidad reclamada que los datos personales del reclamante introducidos en el formulario de su página web, fuera realizado por él mismo o con su consentimiento, y así lo reconoce en el correo electrónico que envió al propio reclamante, donde manifestó la carencia de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web, y por consiguiente si son introducidos con el consentimiento del afectado. Una vez iniciado el procedimiento sancionador, la entidad reclamada presentó, junto al escrito de alegaciones a la incoación del expediente, un “Certificado Tabla Registro”, con el registro de actividad recogido en el log de dicha página web y las acciones realizadas a través de la IP, y que, según el certificado presentado por la entidad, estaba asociada al teléfono ***TELÉFONO.1. Número de teléfono que coincide con el del reclamante. III. Contestación a las alegaciones A lo largo de todo el procedimiento, la entidad reclamada manifiesta que el “Certificado Tabla Registro”, emitido por el responsable del tratamiento de los datos personales de la entidad, donde se describe el registro de actividad recogido en el log de la página web www.premium-sales.es donde aparecen los datos personales del reclamante (el nombre, los apellidos y número de teléfono), son prueba suficiente para poder determinar que los datos del reclamante fueron incluidos en el formulario web de AD735 DATA MEDIA ADVERTISING a través del teléfono móvil del reclamante, o cuando menos, existe la evidencia de que el tratamiento de datos personales del reclamante fue realizada con su consentimiento al igual que ha ocurrido en otros casos, como por ejemplo el seguido en el PS/00578/2021 en esta Agencia. Pues bien, indicar que, en el procedimiento sancionador al que se refiere la entidad reclamada, el PS/00578/2021, seguido en esta Agencia contra la entidad BICLAMEDIA, se consideró que esta entidad había tratado los datos personales del reclamante sin ninguna base legitimadora, cediéndolos posteriormente a terceros y por tanto se abrió C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 el expediente por la presunta infracción del artículo 6 del RGPD, esto es, por falta de legitimación en el tratamiento de los datos personales. En el transcurso del proceso de dicho expediente, la entidad reclamada (BICLAMEDIA) aportó como nuevos documentos al expediente, como fueron los ficheros log con los datos de registro y la actividad en el momento de navegación en la web, así como un certificado de tabla de registro emitido por el responsable del fichero de datos personales. Estos documentos reflejaban que a través de la IP del reclamante se visitó la web de la reclamada introduciendo los datos personales del reclamante y figurando en las condiciones c1, c2, c3 y c4 el valor “1” (que significaría la aceptación de las condiciones del tratamiento de datos, según nota aclaratoria), en la “Tabla de Registro del usuario y el Log de actividad IP. Por ello, se consideró, por parte de esta Agencia que, la aportación de esa nueva documentación, en el expediente PS/00578/2021: “(…) introducía una duda razonable sobre la existencia de una válida obtención del consentimiento del reclamante o de un tercero para el tratamiento (…)”. Situación diferente es la seguida en el presente procedimiento (PS/136/2022), pues en este expediente, lo que se trata de dilucidar es si la entidad reclamada, AD735 DATA MEDIA ADVERTISING S.L., puede corroborar que la persona que introdujo los datos personales en el formulario de su página web fue precisamente el reclamante o fue realizado con su consentimiento. Situación que el propio reclamante niega en su escrito de reclamación. Esto es debido a que la acreditación de la identidad del usuario que está introduciendo los datos en el sitio web de sorteos https://www.premium-sales.es no se realiza con las garantías suficientes, por lo que cualquier persona que tuviera conocimiento del nombre, apellidos y teléfono de un ciudadano, o incluso empleando datos aleatorios, podría introducir datos personales de terceros en el sitio web. La parte reclamada, en su correo electrónico de contestación al reclamante, que consta en el escrito de alegaciones al traslado de la reclamación, confirma la indisposición de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web o que dichos datos son obtenidos con el consentimiento del afectado. Esta argumentación, a la que se ajusta la parte reclamada, carece de fundamento ya que existen mecanismos sobradamente conocidos que se podrían utilizar como, por ejemplo, el envío de un código de verificación por SMS, una llamada de confirmación, etc., que podrían corroborar que los datos introducidos en el formulario fueron proporcionados por el propio interesado o con su consentimiento. Además la entidad reclamada manifiesta, en la contestación que realizó al afectado que, al igual que el resto de las empresas del sector del marketing digital y de otros sectores, no puede garantizar con absoluta certeza que los datos recibidos sean correctos pues en ocasiones se reciben registros con indicación de nombres falsos, alias o algún dato mal indicado y a veces, se reciben registros de menores de edad que indican una fecha de nacimiento errónea para acreditar una mayoría de edad que no tienen y así poder optar a los premios promocionados y que por este motivo AD735 adC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 vierte a los usuarios, en su política de privacidad, la necesidad de indicar datos exactos y veraces, además de, en el caso de suministrar datos de terceras personas, contar con el consentimiento expreso de éstas para poder introducirlos Pues bien, en este sentido, el considerando