PS-00143-2013

1/17 Procedimiento Nº PS/00143/2013 RESOLUCIÓN: R/01688/2013 En el procedimiento sancionador PS/00143/2013, instruido por la Agencia Española de Protección de Datos a la entidad MUNDO CULTURA EDICIONES, S.L., vista la denuncia presentada por EL INSTITUTO MUNICIPAL DE CONSUMO y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24 de mayo de 2012 tiene entrada en esta Agencia un escrito del INSTITUTO MUNICIPAL DE CONSUMO (en adelante IMC) en la que se denuncia que la empresa MUNDO CULTURA EDICIONES, S.L. (en adelante MUNDO CULTURA) en la contratación con sus clientes, utiliza condiciones que pudieran restringir el ejercicio por parte de los afectados de sus derechos de acceso, rectificación, cancelación y oposición, así como imponer el consentimiento de los consumidores respecto del uso de sus datos por parte de terceras entidades con fines al margen de la relación jurídica de consumo suscrita. El IMC detalla en su denuncia que en el documento POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL que la empresa incluye en la documentación contractual y que sus clientes deben firmar al contratar figuran las siguientes condiciones: 1.3: "El consumidor podrá ejercitar, respecto de los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación o cancelación de datos y oposición, siempre que resulte pertinente, así como el de revocación..." 1.4: "Mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero...siempre en el caso de que el comprador hubiera optado por pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L, con la finalidad de que estas compañías puedan tratar sus datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan,...". Objetan que exigir una supuesta pertinencia para el ejercicio de los derechos por su afectado es un requisito no previsto por el legislador y por tanto, una exigencia destinada a dificultar el ejercicio efectivo de aquellos; y ello además de que correspondería a la propia empresa apreciar la pretendida pertinencia. Indican asimismo que la finalidad prevista para la cesión a las entidades financieras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 excede las necesidades del tratamiento de datos requeridas en el marco de la relación contractual suscrita, ya que la emisión por dichas entidades de ofertas y mensajes publicitarios es ajena a la intervención de éstas en el pago aplazado del contrato. Consideran que la condición general de contratación utilizada por MUNDO CULTURA EDICIONES, S.L. descansa en un consentimiento que el consumidor no puede haber otorgado de modo inequívoco (art. 6.1 de la Ley Orgánica 15/1999), dado que no está acreditado que haya sido informado previamente con el alcance que requiere el art. 5.1 de la Ley Orgánica 15/1999. Aportan copia de un documento “POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL” figurando la firma del cliente de MUNDO CULTURA en el mismo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MUNDO CULTURA EDICIONES, S.L., teniendo conocimiento de que: Con fecha 4/12/2012 se ha solicitado información y documentación a MUNDO CULTURA, y de la información y documentación facilitada se desprende lo siguiente:  MUNDO CULTURA fue fundada en el 2009, realizando una actividad de comercio al por menor de forma directa al consumidor final. Mantiene una plantilla de 67 empleados y su volumen de facturación anual es de unos 2.700.000 euros.  El documento POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL aportado junto a su denuncia por el IMC es el utilizado por la entidad, que incluye las cláusulas especificadas. Solicitada información sobre el procedimiento de atención de los derechos instaurado por la entidad, así como en concreto sobre los casos en los cuales la entidad deniega los derechos ARCO, en referencia a la condición “siempre que resulte pertinente” que figura en el documento POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL, la entidad ha respondido aportando el procedimiento en el que figura entre otra información la siguiente: “…Los derechos ARCO son personalísimos, lo que indica que solo pueden ser ejercidos por el titular de los datos, por su representante legal (en caso de minoría de edad o de incapacidad) o por un representante voluntario expresamente designado para el ejercicio del derecho de que se trate. Esta característica de los derechos ARCO deriva en que el responsable del fichero está obligado legalmente a denegar el ejercicio de estos derechos cuando quien lo solicite no sea el titular de los datos y no acredite debidamente que actúa en su representación. … C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 La ley obliga al responsable del fichero a facilitar el ejercicio de los derechos ARCO, y a dar una repuesta al ciudadano en los plazos legalmente establecidos, independientemente de cuál sea el procedimiento utilizado por el interesado e independientemente de que disponga o no de sus datos personales. … Se rechazarán las solicitudes: Presentadas por personas jurídicas. Cuando el solicitante no sea el titular de los datos de carácter personal. Cuando se haya ejercitado el derecho de acceso en los últimos doce meses, salvo que se acredite un interés legítimo. En caso del derecho de rectificación cuando no se indique el dato que es erróneo y la corrección que debe realizarse. Cuando se trate de solicitudes genéricas que no especifiquen la identidad del interesado o los derechos que desea ejercer. Cuando el cliente ejerce el derecho de cancelación y mantiene una deuda abierta y contrastada con MUNDO CULTURAL EDICIONES SL” … PROCEDIMIENTO Dentro del plazo de dos días hábiles contados desde el día siguiente a la entrada de la solicitud en el Departamento de Atención al Cliente, se valorará el cumplimiento de los requisitos generales de capacidad del interesado y la adecuación de la solicitud presentada. Caso de incumplimiento de los requisitos generales de capacidad o no fuera correcta la documentación adjuntada, dentro del plazo de tres días hábiles contados desde el día siguiente a la entrada de la solicitud en dicho departamento, se requerirá a la persona solicitante, para que, en un plazo de diez días hábiles, subsane la falta o acompañe los documentos preceptivos, con indicación de que, si así no lo hiciera, se le tendrá por desistido de su solicitud. Una vez comprobada la solicitud o subsanadas sus faltas por el solicitante se procederá: En el caso del derecho de acceso: El responsable del departamento de Atención al Cliente procederá a la extracción de la información contenida en la Base de Datos en relación al interesado. El responsable del departamento de Atención al Cliente notificará al interesado la información referenciada en el plazo máximo de un mes desde la fecha de la solicitud. En el caso de los derechos de rectificación y cancelación: El responsable del departamento de Atención al Cliente en el plazo máximo de cinco días hábiles proceda a realizar la rectificación o cancelación de los datos que corresponda. El responsable del departamento de Atención al Cliente notificará al interesado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 la rectificación o cancelación realizada en un plazo máximo de diez días hábiles desde la solicitud.” MUNDO CULTURA aporta el resto de contratos que conlleva una contratación: junto con el documento POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL aporta ejemplares de los modelos de contrato de compra que utilizan, el documento CONDICIONES DE GARANTIA, y los documentos de financiación que son los propios de las financieras que ofrecen los préstamos para la compra BBKGE KREDIR EFC SA (BBK), COFIDIS SA, y Financiera Española de Crédito a Distancia SA (FINDIRECT).  Al día de la fecha MUNDO CULTURA EDICIONES SL mantiene inscritos 3 ficheros en el registro General de Protección de Datos de esta Agencia, entre ellos el fichero de clientes y proveedores. TERCERO: Con fecha 12 de marzo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MUNDO CULTURA EDICIONES, S.L., por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

1. c)de dicha norma, pudiendo ser sancionada con multa de 900 a 40.000 euros, de acuerdo con el artículo 45.1 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MUNDO CULTURA EDICIONES, S.L., mediante escrito de fecha 22 de marzo de 2013 solicitó audiencia al procedimiento, que finalmente no se pudo realizar por causas imputables a la misma. QUINTO: Con fecha 5 de abril de 2013, la entidad MUNDO CULTURA EDICIONES, S.L. presenta escrito en el que manifiestan. “Nos ponemos en contacto con usted mediante este comunicado en contestación a la carta recibida datada del día 13 de marzo de 2013 Qué MUNDO CULTURA EDICIONES S.L. procede a revisar todos sus contratos vigentes incluyendo las cláusulas 1.3 y 1.4 modificadas en su política de protección de datos. 1.3-El consumidor podrá ejercitar, respecto de los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación, cancelación y oposición, así como el de revocación del consentimiento para la cesión de sus datos o para cualquier de los usos antes señalados. Los derechos referidos en el párrafo precedente, podrán ejercitarse por cada comprador mediante solicitud escrita y firmada dirigida a la siguiente dirección: …., donde se indicará el nombre y apellidos, adjuntando en ambos casos fotocopia del DNI del comprador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 1.4- mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero anteriormente referido y siempre en el caso de que el comprador hubiese optado por el pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L., con la finalidad de que estas compañías puedan tratar sus datos de carácter personal, con el único objeto propio de esa actividad excluyendo explícitamente el tratamiento de los datos de carácter personal con otro objetivo comercial, además se informa al comprador de que dicha cesión tendrá lugar en el acto de recogida de datos personales. El comprador tiene respecto de los datos personales aportados, los derechos de acceso, oposición, rectificación, y cancelación, los cuales podrá hacer efectivos ante el titular del fichero o cualquiera de los cesionarios, en la siguiente dirección…” La entidad prosigue, manifestando que “En ningún momento Mundo Cultura Ediciones ha obstaculizado o ha tenido intención de dificultar el ejercicio efectivo de derecho de acceso, rectificación, o cancelación de datos y oposición de los clientes de esta compañía. Que en ningún momento Mundo Cultura Ediciones ha pretendido excederse en las necesidades del tratamiento de los datos de los clientes aportados a las entidades financieras para que ofrezcan a los clientes ofertas y mensajes publicitarios ya que no existe ningún lucro por parte de esta Compañía y únicamente se facilita para la financiación del contrato. El consumidor otorga de modo inequívoco el consentimiento para que sus datos puedan ser tratados con la finalidad de ofrecer ofertas y mensajes publicitarios al firmar el contrato con la financiera que precede a financiar el contrato suscrito con la compañía. Queremos aclarar que esta Compañía en ningún momento ha tenido mala fe o intención de ninguna de las acusaciones que se reflejan en su escrito, que creemos que se debe a un mal asesoramiento gestor externo a la hora de redactar nuestros contratos (asesoría externa de la Empresa) y es por todo ello que procedemos como hemos citado anteriormente a modificar los contratos de compra venta de Mundo Cultura Ediciones y a mejorar respecto a la calidad que ofrecemos a nuestros clientes sobre su derecho a la rectificación, cancelación y oposición de sus datos personales. Esta compañía se compromete a revisar de forma inmediata toda su Política de Privacidad, incluyendo todos los procedimientos necesarios para una aplicación más efectiva de todos los derechos ARCO que establece la Ley.” SEXTO: Con fecha 10 de abril de 2013 se inició el período de práctica de pruebas, 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por INSTITUTO MUNICIPAL DE CONSUMO y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MUNDO CULTURA EDICIONES, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04241/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00143/2013 presentadas por MUNDO CULTURA EDICIONES, S.L., y la documentación que a ellas acompaña. SEPTIMO: Con fecha 3 de junio de 2013 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 10.000€ a la entidad MUNDO CULTURA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 EDICIONES, S.L., por la comisión de una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
2. c)de dicha Ley. OCTAVO: Con fecha de puesta en el Servicio de Correos de 21 de junio de 2013, de entrada en la Agencia 25 de junio de 2013, MUNDO CULTURA EDICIONES, S.L., realizó alegaciones frente a la citada propuesta de resolución en la que comunica:  Respecto al hecho imputado a la mercantil sobre la supuesta restricción al ejercicio de los clientes de sus derechos de acceso, rectificación, cancelación y oposición, nos reiteramos en lo dicho anteriormente, dado a que este Organismo se funda en que debido a lo dispuesto en las anteriores clausulas de nuestros contratos, ya modificadas como se les informó en su momento, el hecho de que figurar lo siguiente: 1.3 El consumidor podrá ejercitar, respecto a los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación, cancelación y oposición, siempre que resulte pertinente, así como de revocación, no supone una restricción al ejercicio de los derechos del consumidor. Esta parte entiende que el Organismo ha aplicado una valoración negativa subjetiva ya que el que “resulte pertinente” es suficiente con que el consumidor desee ejercitar sus derechos, sin tener que argumentar su pertinencia. No obstante, MUNDO CULTURA ya ha modificado este apartado de su contrato, para que no sea malinterpretado según las recomendaciones de esta Agencia.  En cuanto al hecho imputado sobre la supuesta cesión de datos a la entidad financiera entendida como excesiva, nos reiteramos en pedir que se tenga en cuenta que la cesión de datos está autorizada expresamente por el cliente, dado a que éste formaliza un contrato de compra con esta mercantil, compra que financia mediante contrato de financiación, anudado al primero. Con ello queremos explicar que la información cedida con autorización del cliente es meramente comercial para poder hacer efectivos ambos contratos, en ningún momento pretende ser una cesión lucrativa, pues no se obtiene beneficio alguno.  Esta parte entiende que la sanción propuesta por importe de 10.000 euros está vulnerando el principio de proporcionalidad al resultar excesiva teniendo que ser, subsidiariamente reducida al mínimo de las sanciones catalogadas como leves, a un importe de 900 euros. En la propuesta de sanción no se ha tenido en cuenta el art. 45.4 • Por todo ello, solicitan sea archivado el presente expediente al haber rebatido los hechos expuestos por esta Agencia a esta mercantil, anulando la sanción propuesta de 10.000 Euros, y subsidiariamente y para el caso de que esta no fuera admitida, se proceda a rebajar al mínimo de las sanciones catalogadas como leves, a un importe de 900 euros. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha de 24 de mayo de 2012 tiene entrada en esta Agencia un escrito del INSTITUTO MUNICIPAL DE CONSUMO (en adelante IMC) en la que se denuncia que la empresa MUNDO CULTURA EDICIONES, S.L. (en adelante MUNDO CULTURA) en la contratación con sus clientes, utiliza condiciones que pudieran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 restringir el ejercicio por parte de los afectados de sus derechos de acceso, rectificación, cancelación y oposición, así como imponer el consentimiento de los consumidores respecto del uso de sus datos por parte de terceras entidades con fines al margen de la relación jurídica de consumo suscrita. El IMC detalla en su denuncia que en el documento POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL que la empresa incluye en la documentación contractual y que sus clientes deben firmar al contratar figuran las siguientes condiciones: 1.3: "El consumidor podrá ejercitar, respecto de los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación o cancelación de datos y oposición, siempre que resulte pertinente, así como el de revocación..." 1.4: "Mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero...siempre en el caso de que el comprador hubiera optado por pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L, con la finalidad de que estas compañías puedan tratar sus datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan,...". Objetan que exigir una supuesta pertinencia para el ejercicio de los derechos por su afectado es un requisito no previsto por el legislador y por tanto, una exigencia destinada a dificultar el ejercicio efectivo de aquellos; y ello además de que correspondería a la propia empresa apreciar la pretendida pertinencia. Indican asimismo que la finalidad prevista para la cesión a las entidades financieras excede las necesidades del tratamiento de datos requeridas en el marco de la relación contractual suscrita, ya que la emisión por dichas entidades de ofertas y mensajes publicitarios es ajena a la intervención de éstas en el pago aplazado del contrato. Consideran que la condición general de contratación utilizada por MUNDO CULTURA EDICIONES, S.L. descansa en un consentimiento que el consumidor no puede haber otorgado de modo inequívoco (art. 6.1 de la Ley Orgánica 15/1999), dado que no está acreditado que haya sido informado previamente con el alcance que requiere el art. 5.1 de la Ley Orgánica 15/1999. Aportan copia de un documento “POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL” figurando la firma del cliente de MUNDO CULTURA en el mismo. SEGUNDO: Consta que el responsable de esa actuación es la entidad MUNDO CULTURA EDICIONES, S.L. TERCERO: Consta en el expediente el contrato que los clientes tienen que firmar al realizar la contratación con la entidad denunciada MUNDO CULTURA EDICIONES, S.L., así como la política de protección de datos de carácter personal. CUARTO: Consta que en dicha política de protección de datos se recogía que el cliente, si optaba por el pago aplazado, consentía expresamente la cesión o comunicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 sus datos personales a las entidades financieras de MUNDO CULTURA EDICIONES, S.L, para que estas entidades pudieran hacerle llegar ofertas y mensajes publicitarios, sin que existiera la posibilidad de mostrar su negativa. QUINTO: Consta que, con fecha 5 de abril de 2013, tiene entrada en esta Agencia escrito de la entidad denunciada mediante el que comunica que ha procedido a cambiar la Política de Protección de Datos de sus contratos . FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento se imputa a la entidad denunciada una infracción del art. 5 de la LOPD, el cual establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b), c), y
9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 La obligación que impone el art.5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. En este sentido, y teniendo en cuenta lo establecido en el art. 5 de la LOPD, la entidad MUNDO CULTURA, debe dar a los clientes la información prevista en el art. 5.1 de la LOPD, y la misma debe suministrarse a los clientes previamente a la solicitud de sus datos personales, de manera expresa, precisa e inequívoca Con este artículo, la LOPD ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concretos. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Por otra parte, la manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, que establece: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Asimismo, el art. 45 del RD titulado “Datos susceptibles de tratamiento e información al interesado” establece: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
10. a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 letra
11. j)del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
12. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” III En el caso que nos ocupa, se denunciaba que la empresa MUNDO CULTURA EDICIONES, S.L., en la contratación con sus clientes, utilizaba condiciones que podían restringir el ejercicio, por parte de los afectados, de sus derechos de acceso, rectificación, cancelación y oposición, así como imponer el consentimiento de los consumidores respecto del uso de sus datos por parte de terceras entidades con fines al margen de la relación jurídica de consumo suscrita. Para acreditar esta circunstancia, se adjuntaba a la denuncia el documento “POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL” que la empresa incluye en la documentación contractual y que sus clientes deben firmar al contratar, en el que figuraban las siguientes condiciones: 1.3: "El consumidor podrá ejercitar, respecto de los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación o cancelación de datos y oposición, siempre que resulte pertinente, así como el de revocación..." 1.4: "Mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero...siempre en el caso de que el comprador hubiera optado por pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L, con la finalidad de que estas compañías puedan tratar sus datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan,...". Asimismo, tras iniciarse las correspondientes actuaciones de inspección, y en la documentación remitida por la entidad denunciada, se aportaba la misma documentación, con idénticas clausulas. Por otro lado, al recibirse el acuerdo de inicio de procedimiento sancionador, y con fecha de entrada en esta Agencia 5 de abril de 2013, la representante de la entidad denunciada ha manifestado que han procedido a cambiar la clausula 1.3 y 1.4 de su Política de Protección de Datos, quedando de la siguiente manera: 1.3-El consumidor podrá ejercitar, respecto de los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación, cancelación y oposición, así como el de revocación del consentimiento para la cesión de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 datos o para cualquiera de los usos antes señalados. Los derechos referidos en el párrafo precedente, podrán ejercitarse por cada comprador mediante solicitud escrita y firmada dirigida a la siguiente dirección: …., donde se indicará el nombre y apellidos, adjuntando en ambos casos fotocopia del DNI del comprador. 1.4- mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero anteriormente referido y siempre en el caso de que el comprador hubiese optado por el pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L., con la finalidad de que estas compañías puedan tratar sus datos de carácter personal, con el único objeto propio de esa actividad excluyendo explícitamente el tratamiento de los datos de carácter personal con otro objetivo comercial, además se informa al comprador de que dicha cesión tendrá lugar en el acto de recogida de datos personales. El comprador tiene respecto de los datos personales aportados, los derechos de acceso, oposición, rectificación, y cancelación, los cuales podrá hacer efectivos ante el titular del fichero o cualquiera de los cesionarios, en la siguiente dirección…” Asimismo, manifiestan “En ningún momento Mundo Cultura Ediciones ha obstaculizado o ha tenido intención de dificultar el ejercicio efectivo de derecho de acceso, rectificación, o cancelación de datos y oposición de los clientes de esta compañía.” “Que en ningún momento Mundo Cultura Ediciones ha pretendido excederse en las necesidades del tratamiento de los datos de los clientes aportados a las entidades financieras para que ofrezcan a los clientes ofertas y mensajes publicitarios ya que no existe ningún lucro por parte de esta Compañía y únicamente se facilita para la financiación del contrato.” Y por último, a pesar de lo que manifiestan en la cláusula, vuelven a señalar que “El consumidor otorga de modo inequívoco el consentimiento para que sus datos puedan ser tratados con la finalidad de ofrecer ofertas y mensajes publicitarios al firmar el contrato con la financiera que precede a financiar el contrato suscrito con la compañía.” En este caso, ha quedado acreditado que la entidad denunciada Mundo Cultura Ediciones, incumplía con las exigencias del art. 5 de la LOPD y el art. 15 de su reglamento en la medida en que recogían que el comprador consiente expresamente la cesión o comunicación de los datos incluidos en el fichero...siempre en el caso de que el comprador hubiera optado por pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L, con la finalidad de que estas compañías puedan tratar sus datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan,...". Asimismo, en el escrito de fecha de entrada en esta Agencia 5 de abril de 2013 manifiestan que han procedido a cambiar dichas clausulas, de tal manera que la clausula 1.4 queda de la siguiente manera: “mediante la aceptación de estas condiciones, el comprador consiente expresamente la cesión o comunicación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 datos incluidos en el fichero anteriormente referido y siempre en el caso de que el comprador hubiese optado por el pago aplazado en el contrato, a las entidades financieras de Mundo Cultura Ediciones, S.L., con la finalidad de que estas compañías puedan tratar sus datos de carácter personal, con el único objeto propio de esa actividad excluyendo explícitamente el tratamiento de los datos de carácter personal con otro objetivo comercial, además se informa al comprador de que dicha cesión tendrá lugar en el acto de recogida de datos personales. El comprador tiene respecto de los datos personales aportados, los derechos de acceso, oposición, rectificación, y cancelación, los cuales podrá hacer efectivos ante el titular del fichero o cualquiera de los cesionarios, en la siguiente dirección…” En esta clausula se recoge una cesión a las entidades financieras de MUNDO CULTURA con el único objeto propio de esa actividad, excluyendo explícitamente el tratamiento de los datos de carácter personal con otro objeto comercial por tanto se considera que esta clausula es conforme a lo dispuesto en la normativa de protección de datos. Por tanto, con esta clausula se entiende que la cesión de datos se produce para el tratamiento propio del contrato de financiación con las entidades financieras, y no para la comunicación de datos con fines comerciales, para lo que sería necesario la existencia de una clausula en la que los clientes pudieran mostrar su negativa a dicha comunicación, exclusivamente con fines de publicidad. En este sentido hay que hacer referencia a la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, cuando señala que: “no basta con informar en el catalogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante.” Asimismo, en esta sentencia se prosigue señalando “la resolución impugnada considera que no se especifican las finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial y no se informa sobre los sectores específicos y concretos sobre los que podrá recibir información o publicidad comercial, vulnerando lo dispuesto en el art. 45 del Reglamento de desarrollo de la LOPD.” No obstante, la sentencia señala que “para cumplir con el citado deber de información no es necesario que se reseñen los variados sectores o actividades a que se dedican (….), sino que bastará con la remisión a una página web.” Por tanto, en este caso concreto en el que la clausula informativa recogía una cesión de los datos personales de los clientes, cuando se optase por el pago aplazado, a las entidades financieras con la finalidad de que estas compañías pudieran tratar sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios, se estaba produciendo una vulneración del art. 5 LOPD, en relación con el art. 15 del RD 1720/2007. No obstante, con la nueva redacción, en la que se pone de manifiesto que “el comprador consiente expresamente la cesión o comunicación de datos … siempre en el caso del que el comprador hubiera optado por el pago aplazado del contrato, a las entidades financieras de Mundo Cultura, con la finalidad de que estas compañías puedan tratar sus datos de carácter personal con el único objeto propio de esa actividad excluyendo explícitamente el tratamiento de los datos de carácter personal con otro objetivo comercial”, en la medida en que se recoge expresamente que se excluye explícitamente el tratamiento de los datos con objetivo comercial, se considera que dicha clausula es conforme al art. 5 LOPD en relación con el art. 15 RD 1720/2007. IV Con fecha 21 de junio de 2013 tiene entrada en esta Agencia escrito de la entidad denunciada por el que presenta alegaciones a la propuesta de resolución emitida, manifestando: En primer lugar, y respecto al hecho imputado a la mercantil sobre la supuesta restricción al ejercicio de los clientes de sus derechos de acceso, rectificación, cancelación y oposición, nos reiteramos en lo dicho anteriormente, dado a que este Organismo se funda en que debido a lo dispuesto en las anteriores clausulas de nuestros contratos, ya modificadas como se les informó en su momento, el hecho de que figurar lo siguiente: 1.3 El consumidor podrá ejercitar, respecto a los datos recabados en la forma prevista en el apartado anterior, los derechos reconocidos en la Ley Orgánica 15/1999, y en particular los derechos de acceso, rectificación, cancelación y oposición, siempre que resulte pertinente, así como de revocación, no supone una restricción al ejercicio de los derechos del consumidor. Esta parte entiende que el Organismo ha aplicado una valoración negativa subjetiva ya que el que “resulte pertinente” es suficiente con que el consumidor desee ejercitar sus derechos, sin tener que argumentar su pertinencia. No obstante, MUNDO CULTURA ya ha modificado este apartado de su contrato, para que no sea malinterpretado según las recomendaciones de esta Agencia. Señalar a este respecto que, desde esta Agencia, no se ha considerado como hecho imputado una supuesta restricción al ejercicio de los clientes de sus derechos de acceso, rectificación, cancelación y oposición. En segundo lugar, en cuanto al hecho imputado sobre la supuesta cesión de datos a la entidad financiera entendida como excesiva, nos reiteramos en pedir que se tenga en cuenta que la cesión de datos está autorizada expresamente por el cliente, dado a que éste formaliza un contrato de compra con esta mercantil, compra que financia mediante contrato de financiación, anudado al primero. Con ello queremos explicar que la información cedida con autorización del cliente es meramente comercial para poder hacer efectivos ambos contratos, en ningún momento pretende ser una cesión lucrativa, pues no se obtiene beneficio alguno. Con respecto a esta cuestión, señalar que el hecho imputado era la cesión de los datos de los clientes a las entidades “…con la finalidad de que estas compañías puedan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 tratar sus datos de carácter personal para hacerle llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan…”. Se entiende que esta cesión, tal y como se ponía de manifiesto en la propuesta de resolución y ahora en la Resolución suponen una vulneración del art. 5 LOPD y del art. 15 del Reglamento que establece: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.” Asimismo, como ya se ha señalado anteriormente, tras la modificación efectuada y presentada en esta Agencia en fecha 5 de abril de 2013, se entiende que la nueva redacción dada a esta clausula solo recoge una cesión de datos que son necesarios para tratar el contrato, y no con fines publicitarios, puesto que así lo recoge expresamente cuando establece: “…con la finalidad de que estas compañías puedan tratar sus datos de carácter personal con el único objeto propio de esa actividad excluyendo explícitamente el tratamiento de los datos de carácter comercial con otro objetivo comercial…” considerándose esta redacción conforme a la normativa de protección de datos. En tercer lugar, la entidad denunciada entiende que la sanción propuesta por importe de 10.000 euros está vulnerando el principio de proporcionalidad al resultar excesiva teniendo que ser, subsidiariamente reducida al mínimo de las sanciones catalogadas como leves, a un importe de 900 euros. Asimismo, manifiesta que en la propuesta de sanción no se ha tenido en cuenta el art. 45.4 Con relación a esta cuestión es necesario señalar que el art. 45.1 de la LOPD establece que “Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. Así, si tenemos en cuenta que el art. 45.1 recoge la posibilidad de que las sanciones leves puedan sancionarse con una multa de hasta 40.000 euros, y el art. 45.4 establece que “La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, …a los daños y perjuicios causados a las personas interesadas y a terceras personas” entre otros, se considera que la sanción propuesta e impuesta no vulnera dicho principio de proporcionalidad, al estar dentro de lo establecido en el art. 45.1 como sanción a aplicar en el caso de infracciones leves y por el volumen de datos tratados. V El artículo 44.2.
13. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, ha quedado acreditado que la entidad “MUNDO CULTURA EDICIONES, S.L.” incumplía lo dispuesto en el art. 5 de la LOPD, 15 y 45.1 de su reglamento de desarrollo por cuanto se ha acreditado que en la política de protección de datos de carácter personal, incluía la cesión de los datos de los clientes a las entidades financieras de MUNDO CULTURA EDICIONES S.L. con la finalidad de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 estas compañías puedan hacerles llegar ofertas y mensajes publicitarios por cualquier sistema, referente a los productos y servicios que cada una de estas compañías ofrecen en el sector en el que operan, infringiendo lo dispuesto en los arts. 5 LOPD, 15 y 45 del Reglamento, que requieren la posibilidad de que los interesados puedan mostrar su negativa a que sus datos sean cedidos con fines comerciales, así como que es necesario que se informe de los sectores de actividad en los que operan. VI El artículo 45.1. 2. 3. 4. y 5 de la LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 € a 600.000 €. 4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate.” Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MUNDO CULTURA EDICIONES, S.L., por una infracción del artículo "5" de la LOPD, tipificada como "leve" en el artículo "44.2.c" de dicha norma, una multa de "10.000" € (diez mil euros) de conformidad con lo establecido en el artículo "45.1" de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad MUNDO CULTURA EDICIONES, S.L., y a INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es