1/8 Procedimiento Nº PS/00164/2016 RESOLUCIÓN: R/02565/2016 En el procedimiento sancionador PS/00164/2016, instruido por la Agencia Española de Protección de Datos a la entidad CORDINADORA FINANCIERA E HIPOTECARIA S.L.U., vista la denuncia presentada por DE OFICIO, y en base a los siguientes, ANTECEDENTES PRIMERO: En el curso de las actuaciones de inspección E/06896/2014, se tuvo constancia que la entidad “Coordinadora Financiera e Hipotecaria, S.L.U.”, a través la página web www.infomorosos.com, informa a los usuarios que sus datos serán tratados con la finalidad de “realizar acciones comerciales encaminadas a ofrecerle productos, servicios o ofertas especiales” y recoge el consentimiento de los afectados para la remisión de “información comercial sobre productos y servicios por cualquier medio”, sin indicar a los afectados los sectores específicos y concretos de actividad respecto de los que pueden recibir publicidad. Ante tales circunstancias, con fecha 26/05/2015, el Director de la Agencia Española de Protección de Datos acordó instar a la Subdirección General de Inspección la realización de las actuaciones de investigación precisas que permitan obtener la información necesaria para determinar si la información que se facilita en la actualidad, en el aludido sitio web, se adecua a lo previsto en la normativa de protección de datos. SEGUNDO: Con fecha 18/06/2015 se obtiene copia impresa del formulario de recogida de datos para particulares contenido en el sitio web www.infomorosos.com y de las “Condiciones de servicio y política de privacidad” que se explicitan en el mismo. En el formulario de recogida de datos se recogen datos de nombre, apellidos, CIF o NIE, número de identificación, e-mail, fecha de nacimiento, teléfono fijo y móvil y dirección postal del usuario, debiendo ser rellenados los espacios marcados *, que según se indica en la parte superior del formulario son “espacios obligatorios”. Al finalizar el formulario existe una casilla sin marcar precedida del siguiente texto: “Si, he leído y autorizo el tratamiento de mis datos personales:*”. Junto a la aludida casilla se explicitan, a través de un enlace, las “Condiciones de servicio y política de privacidad” contenidas en el documento denominado “Condiciones de servicio, acuerdo de privacidad y autorización al tratamiento de datos de carácter personal” En relación con las comunicaciones comerciales, el epígrafe “Confidencialidad, protección de datos y finalidades” del citado documento recoge como una de las finalidades del fichero: “Realizar acciones comerciales encaminadas a ofrecerle productos, servicios o ofertas especiales” y bajo el epígrafe “Aceptación y Consentimiento” se indica que “El usuario consiente expresamente la remisión de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 información comercial sobre productos y servicios por cualquier medio, incluidos los electrónicos”. TERCERO: Con fecha 15/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CORDINADORA FINANCIERA E HIPOTECARIA S.L.U. por una infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
- c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 18/05/2016 la denunciada alega: 1) El procedimiento de origen el presente es el E/06896/2014 que fue archivado, del que deduce que no existe una finalidad diferente a la establecida en el aviso legal sobre el tratamiento de datos que recaba. 2) Precisa que la recogida de datos en la web infomorosos.com cuando un cliente introduce sus datos es la de tratar los datos con ficha finalidad, de asesorar, gestionar e informar sobre ficheros de solvencia patrimonial. Cabe indicar que dicho literal concreto y especifico no figura en el apartado informativo de los datos. Añade que no hay finalidades que no guarden relación con dicha relación y existe una casilla en la que se marca el consentimiento, existiendo un procedimiento que le permitiría establecer su oposición al tratamiento, entre otros derechos ARCO. QUINTO: Con fecha 12/09/2016 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a CORDINADORA FINANCIERA E HIPOTECARIA S.L.U. con multa de 16.000 euros €, por la infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de dicha norma, de conformidad con el artículo 45.1, y 4 de dicha LOPD.” Frente a la citada propuesta en el plazo otorgado no se recibieron alegaciones. HECHOS PROBADOS 1. En el curso de las actuaciones de inspección E/06896/2014, se tuvo constancia que la entidad “Coordinadora Financiera e Hipotecaria, S.L.U.”, a través la página web www.infomorosos.com, de la que es titular, oferta el servicio de acceso-cancelación para particulares en los ficheros de morosos (3, 5) introduciendo los datos en dicha web. En la misma, se informa a los usuarios que sus datos serán tratados con la finalidad de “realizar acciones comerciales encaminadas a ofrecerle productos, servicios o ofertas especiales”, lo cual no informa de la finalidad concreta de la recogida de datos y recoge el consentimiento de los afectados para la remisión de “información comercial sobre productos y servicios por cualquier medio”, sin indicar a los afectados los sectores específicos y concretos de actividad respecto de los que pueden recibir publicidad., (1, 7, 26 a 35). 2. Con fecha 18/06/2015 por el Servicio de Inspección se obtuvo copia impresa del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 formulario de recogida de datos contenido en el sitio web www.infomorosos.com y de las “Condiciones de servicio y política de privacidad” que se explicitan en el mismo. En el formulario de recogida de datos se recogen como obligatorios: datos de nombre, apellidos, CIF o NIE, número de identificación, e-mail, fecha de nacimiento, teléfono fijo y móvil y dirección postal del usuario. Al finalizar el formulario existe una casilla sin marcar precedida del siguiente texto: “Si, he leído y autorizo el tratamiento de mis datos personales:*”, que al lado tiene un apartado y, a través de enlace, lleva a las “Condiciones de servicio y política de privacidad” contenidas en el documento denominado: “Condiciones de servicio, acuerdo de privacidad y autorización al tratamiento de datos de carácter personal” (2 a 4, 7 a 12). Dentro de dichas condiciones, existe el epígrafe titulado: “Confidencialidad, protección de datos y finalidades” en el que se informa de la existencia de un fichero automatizado de datos de carácter personal creado para COORDINADORA FINANCIERA E HIPOTECARIA SLU, con las siguientes finalidades:
- a)“Realizar acciones comerciales encaminadas a ofrecerle productos, servicios o ofertas especiales” y bajo el epígrafe “Aceptación y Consentimiento” se indica que: “El usuario declara haber sido informado previamente a facilitar sus datos, de las condiciones del servicio y la policita de privacidad, aceptando ambas, y, además, aceptando y consintiendo el tratamiento automatizado de los mismos por parte de COORDINADORA FINANCIERA E HIPOTECARIA SLU en la forma y para las finalidades indicadas en la presente política de protección de datos personales. El usuario consiente expresamente la remisión de información comercial sobre productos y servicios por cualquier medio, incluidos los electrónicos”.
(12). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Las cláusulas que se contienen en las condiciones de servicio, acuerdo de privacidad y autorización al tratamiento de datos de carácter personal de la web infomoroso.com no se ajustan en su contenido informativo mínimo que establece el artículo 5.1 de la LOPD y concordantes para obtener un consentimiento conforme a los elementos que la LOPD requiere. Se da la peculiaridad que en el formulario de recogida de datos para autorizar la consulta, la cancelación o el acceso a los ficheros de solvencia, se informe de aspectos colaterales no relacionados directamente con dicho fin, y se omite precisamente los datos que se dan con dicho fin. Así, no se indica ni relaciona los datos con la consulta a dichos ficheros. Por añadidura a dicha falta de información, existen al menos dos cláusulas que infringen el citado artículo 5.1 de la LOPD. El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
- h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. En este caso se presta de forma automatizada, a través de una página web. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” En este caso, tras completar los datos personales obligatorios en la pantalla de “Va a solicitar consultar o borrar sus datos en los ficheros de morosos nacionales” de la web infomorosos, sigue un apartado que remite a las “condiciones” indicando que la finalidad del fichero es para “realizar acciones comerciales encaminadas a ofrecer productos, servicios o ofertas especiales”. Esta adicción a la consulta en fichero de solvencia es un añadido que no guardaría relación con dicha relación de consulta que quiere el usuario. El artículo 15 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Así, en primer lugar no se implementa una casilla para marcar la negativa a dicho tratamiento adicional que sería la de enviar acciones comerciales, accesoria a la que ocasiona la recogida de datos que es la consulta en ficheros de solvencia. En segundo lugar, ese envío de acciones comerciales no detalla ni especifica el tipo de productos, ofertas o servicios, por lo que se desconoce el objeto sobre el que va a recaer el consentimiento, no consiguiendo la finalidad de informar correctamente para la obtención del consentimiento inequívoco. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
- a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
- h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. En este sentido la sentencia de la Audiencia Nacional de fecha 30/01/2013, ha declarado lo siguiente: no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. Así, determina el artículo 45 del RLOPD. “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- a)Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra
- j)del artículo 3 de la LOPD y el artículo 7 de este Reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” La tercera consideración deriva de lo que se contiene bajo el epígrafe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 “Aceptación y Consentimiento” al indicar que: “El usuario declara haber sido informado previamente a facilitar sus datos, de las condiciones del servicio y la policita de privacidad, aceptando ambas, y , además, aceptando y consintiendo el tratamiento automatizado de los mismos por parte de COORDINADORA FINANCIERA E HIPOTECARIA SLU en la forma y para las finalidades indicadas en la presente policita de protección de datos personales. El usuario consiente expresamente la remisión de información comercial sobre productos y servicios por cualquier medio, incluidos los electrónicos”. Se reitera que de los datos que se proporcionan para la consulta de ficheros de solvencia no ha existido información alguna, y falta detallar sobre la información comercial que se le puede remitir. El artículo 5.1 de la LOPD señala: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.” El artículo 12.1 del RLOPD relaciona información con el consentimiento y concreción y detalle del consentimiento precisando: “El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos”. En el presente supuesto se acredita que la denunciada ha infringido el artículo 5.1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 la LOPD. III La infracción cometida por la denunciada aparece tipificada como leve en el artículo 44.2.
- c)de la LOPD, que indica: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” IV El artículo 45 de la LOPD, establece, en sus apartados 1, y 4 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Considerando que no se ha acredita haber regularizado las clausulas informativas añadiendo o suprimiendo lo necesario para su adecuación informativa en relación con los datos y fines para los que se recogen, y que existe vinculación con el tratamiento de datos al ofrecer el servicio de consulta de ficheros de solvencia que contienen datos y para los que se precisan datos, se impone una sanción de 10.000 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CORDINADORA FINANCIERA E HIPOTECARIA S.L.U., por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa de 10.000 €, de conformidad con lo establecido en el artículo 45.1, y 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CORDINADORA FINANCIERA E HIPOTECARIA S.L.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es