1/16 Expediente Nº: PS/00184/2022 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN CITIZENGO (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: PS/00184/2022 IMI Reference: A56ID 120466- Case Register 121188 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 7 de enero de 2020 interpuso reclamación ante la autoridad de protección de datos de Croacia. La reclamación se dirige contra FUNDACIÓN CITIZENGO (en adelante CITIZENGO) con NIF G86736998. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haber recibido en su buzón de e-mail privado un correo electrónico procedente de la plataforma CITIZENGO, sin haber dado su consentimiento. En dicho correo se le anima a votar en la segunda ronda de las elecciones presidenciales de su país, y a participar en las campañas que se lanzan a través de la plataforma en cuestión. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día en fecha 8 de abril de 2020, y se le dio fecha de registro de entrada en esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Española de Protección de Datos (AEPD) el día 8 de abril de 2020. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que CITIZENGO tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad croata de protección de datos, las autoridades de Italia, Polonia, Noruega, Dinamarca, Portugal, Francia, Letonia, Hungría, Eslovaquia, Suecia y la autoridad alemana de Berlín, Baja Sajonia y Baviera (sector privado). Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en estos Estados Miembro es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: El 15 de abril de 2020 la AEPD solicita, a través del IMI, a la autoridad de protección de datos de Croacia información adicional sobre la reclamación, al menos, que se comparta la reclamación original, así como evidencias del correo electrónico no solicitado y sus datos de identificación y de contacto. La autoridad de protección de datos de Croacia compartió a través de IMI, el día 22 de mayo de 2020, junto con la reclamación original, la siguiente documentación aportada por la parte reclamante: Correo electrónico enviado el día 3 de enero de 2020, a las 4:24 PM, desde el correo electrónico***USUARIO.1@citizengo.org, dirigido a ***USUARIO.2@gmail.com con el asunto “nije svejedno” (en español, “no importa”) y con el siguiente texto (en croata en el original): “Te escribo hoy porque me preocupa que no vayas a las elecciones presidenciales de este domingo. Puesto que estamos trabajando en esto todos los días para empoderar su voz frente a agentes de policía que afirman compartir nuestros valores, entiendo su decepción, y puedo decirle con toda sinceridad que la comparto. Pero siempre me recuerda que como ciudadanos estamos obligados a participar en la democracia y a vigilar activamente cómo nos representan los agentes de policía y reaccionamos como es necesario. Solo juntos podemos enseñar a los políticos que tienen el deber de representarnos, especialmente si son gracias a nosotros al poder. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 No importa quién durante los próximos cinco años de dos candidatos será Presidente o Presidente de la República de Croacia, co-creará la política exterior, nos representará en el mundo, nombrará embajadores, jueces constitucionales e influirá fuertemente en el clima social en Croacia. Antes de la última ronda de elecciones, preparamos una declaración. «Promesa por la libre a la Croacia democrática» Preguntamos a los candidatos que dijeron que compartían los principios de los valores para leer acerca de si y cómo abogar por su realización. Le informamos de sus respuestas y le invitamos a votar según su conciencia. Y esta vez los invitamos a votar de acuerdo con su conciencia. Estoy seguro de que ninguno de nosotros quiere un presidente que: • Actúe activamente contra la voluntad de los ciudadanos croatas criados en el Referéndum Nacional • Trabaje activamente contra el derecho a la conciencia de los profesionales médicos • Abogue por el adoctrinamiento de los niños con ideología de género a través de los planes de estudios escolares • Se oponga a la conmemoración estatal de las víctimas del comunismo • Impida la extradición y el juicio de los organizadores de asesinatos comunistas • Abra las fronteras croatas para el cruce ilegal de migrantes • Traiga nuevas divisiones ideológicas a nuestra sociedad de esperanzas bajo la parol «nosotros o ellos» No importa quién será el Presidente de la República de Croacia en un momento en que el orden mundial y las zonas de influencia cambian porque Croacia está en el ámbito de la intersección de los intereses de las superpotencias del mundo. Estoy seguro de que tampoco te importa. Al contrario, es muy importante para ti, igual que yo. Ir a las elecciones y seguir participando activamente en las campañas CitizenGO porque solo nuestro compromiso persistente puede dejar claro a los que están en el poder que, a diferencia de ahora, estamos realmente muy activamente siguiendo lo que harán después de las elecciones. Así que ve a las elecciones el domingo 5 de enero. Buenos saludos, Aquí puede leer mi correo electrónico sobre este tema que le envié antes: Las elecciones presidenciales están a la puerta. ¿sabes por quién votarás? CitizenGO pide a los candidatos presidenciales que indiquen si preservarán y representarán nuestros valores en el ejercicio del deber presidencial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Le invitamos a firmar y emitir una carta adicional que les enviamos con el fin de ser lo más convincente posible en su mensaje de que daremos una voz exclusivamente a aquellos que defenderán nuestros intereses y nuestros valores en toda la República de Croacia Firmas Buenos días Elecciones al Presidente de la República de Croacia están frente a nosotros. La primera vuelta de las elecciones tendrá lugar 22 de diciembre de 2019. La función del Presidente de la República, aunque limitada por un poder excelente, es muy importante como garante del orden jurídico constitucional, en el Plan de Política Exterior y como moralidad clave el liderazgo del país. Es por eso que CitizenGO ha preparado una declaración para los candidatos presidenciales que quieren representarnos. Les pedimos que indiquen si preservarán y representarán nuestros valores en el ejercicio del deber presidencial. Los candidatos podrán formular observaciones sobre nuestra solicitud hasta el 19 de diciembre de 2019, tras lo cual informaremos a todos los signatarios de esta declaración sobre las respuestas del candidato a presidente/presidente de la República de Croacia. Si desea averiguar las respuestas del candidato, por favor firme la petición haciendo clic aquí: Quiero que un presidente proteja mis valores. Firme y comparta una declaración adicional que enviamos a los candidatos que dicen que comparten nuestros valores. Al firmar esta declaración, usted envía un mensaje claro que dará un voto exclusivamente al candidato que defenderá sus valores e intereses: ¡Firma y pídele a los candidatos presidenciales que hablen! Se están produciendo muchos cambios a nivel nacional, pero también en la política internacional, donde tan a menudo en nuestro pasado se decidió el destino de Croacia. La persona que vaya a ser elegida Presidente de la República tendrá una influencia en estos procesos. Todos los firmantes de esta petición serán informados de qué candidatos respondieron a nuestra investigación. Si quieren que votemos, tienen que asumir algunas obligaciones con nosotros. Gracias por no rendirse y esforzarse por el bien de Croacia,” CUARTO: Con fecha 25 de junio de 2020 de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En respuesta a un requerimiento de información de esta Agencia, el 21 de julio de 2020 CITIZENGO manifiesta que: Los datos del titular de la cuenta ***USUARIO.2@gmail.com se incorporaron a su base de datos después de que se firmara con esa dirección de email una alerta de Fundación CitizenGO en Croacia el 30/12/2019 en la dirección ***URL.1. Aportan captura de pantalla del programa de email reflejando la firma de la citada campaña. Como prueba del consentimiento de la parte reclamante a recibir información sobre otras campañas de Fundación CitizenGO, adjuntan captura de pantalla del programa de email en la que figuran los datos que la parte reclamante introdujo en el formulario de firma: • Nombre: A.A.A. • Apellidos: (…) • Email: ***USUARIO.2@gmail.com • País: Croacia • Código Postal: (…). Según indican los representantes de la entidad en la captura de pantalla figura la IP de la persona que rellenó el formulario de firma. No obstante, en la documentación aportada no se observa este dato. En cuanto al procedimiento seguido para recabar el consentimiento para la recepción de correos relativos a otras campañas distintas a aquella que se está firmando, los representantes de la entidad manifiestan que es necesario realizar la acción positiva de marcar la casilla de aceptación. Afirman que, si no se marca esta casilla, el usuario no recibirá más mails desde CitizenGO. No se ha realizado ningún cambio en el proceso de solicitud del consentimiento. En la captura de pantalla aportada figuran las columnas “subscribe (Email list subscription status)” y “gdpr_agreement” que aparecen con un “1”, lo que indica que en el momento de firmar la petición citada más arriba, la persona firmante habría aceptao expresamente recibir emails por parte de CitizenGO. En concreto, este es el texto que aparece en el formulario de firma, tras un botón “radio button” que habría marcado expresamente: “Želim znati hoće li ova peticija uspjeti i kako mogu podržati druge peticije.” La traducción al español de dicho texto sería la siguiente: “Quiero saber si esta petición gana y cómo puedo ayudar a otras peticiones ciudadanas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Debajo de este texto aparecería: “Ne Želim primati novosti niti o ovoj peticiji niti o drugim kampanjama” La traducción de dicho texto sería la siguiente: “No quiero recibir noticias sobre esta petición u otras campañas” Por otra parte, CITIZENGO manifiesta que, junto a este botón y el botón de firma, incluyeron el siguiente texto, enlazado a la Política de privacidad y a las Normas de uso; “Vaše podatke obrađujemo u skladu s našim Pravilima o privatnosti i Uvjetima korištenja.” La traducción al español de dicho texto sería la siguiente: “Procesamos tus datos personales de acuerdo con nuestras Política de privacidad y Normas de uso.” CITIZENGO manifiesta que la parte reclamante dio de baja su suscripción el 11 de enero de 2020 a las 8:54 pm, como figuraría en la captura de pantalla del programa de marketing. CITIZENGO indica que el correo electrónico citado por la parte reclamante se habría enviado durante la campaña electoral en Croacia y en él se daba información sobre el contenido de los programas de los partidos concurrentes y de las especiales circunstancias de las elecciones en ese país. Añaden que el correo electrónico mencionado se habría enviado a todas las personas que hasta esa fecha habían firmado alertas en la web croata y que habían confirmado que deseaban recibir información sobre cómo ayudar a otras campañas ciudadanas. SEXTO: Con fecha 25 de junio de 2021 se firmó una propuesta de resolución de archivo de actuaciones, que se compartió con las autoridades interesadas en fecha 30 de junio de 2021, y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para realizar sus observaciones al respecto. Dentro del plazo otorgado a tal efecto, la autoridad de control de Portugal comentó que el consentimiento prestado por los interesados no es específico, en la medida en que implica que, incluso si los interesados solo quieren saber qué está sucediendo con la petición que han firmado, siempre tendrán que estar de acuerdo en recibir también todas las alertas de otras peticiones. Entiende por ello, que, para tener una elección real, los consentimientos deben ser autónomos. SEPTIMO: Con fecha 12 de agosto de 2021 la Directora de la AEPD declaró la caducidad de las actuaciones al haber transcurrido más de doce meses desde la fecha de admisión a trámite de la reclamación, y al no haber prescrito la infracción se abrieron nuevas actuaciones de investigación con el número E/08405/2021, y se incorporaron a estas nuevas actuaciones la documentación obrante en el E/05432/2020. OCTAVO: Con fecha 19 de abril de 2022, se realiza diligencia por la que se incorpora al expediente capturas de pantalla de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 - El procedimiento a seguir para firmar una campaña en la web “https://citizengo.org/hazteoir” de España, en la que se observaba una casilla sin marcar con el siguiente mensaje, al seleccionar España como el país de la persona que firma: “Quiero saber si esta petición gana y cómo puedo ayudar a otras peticiones ciudadanas.” - El procedimiento a seguir para firmar una campaña en la web “https://citizengo.org/hr” de Croacia, en las que se observaba una casilla sin marcar con el siguiente mensaje, al seleccionar Croacia (Hrvatska) como el país de la persona que firma: “Želim znati hoće li ova peticija uspjeti i kako mogu podržati druge peticije”. NOVENO: Con fecha 25 de mayo de 2022, la Directora de la AEPD firmó una propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 9 de junio de 2022 se transmitió a través del Sistema IMI esta propuesta de proyecto de decisión como consulta informal y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para realizar sus comentarios. DÉCIMO: Con fecha 18 de julio de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 22 de julio de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a CITIZENGO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 26 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO PRIMERO: Con fecha 19 de agosto de 2022, CITIZENGO presentó escrito de alegaciones al proyecto de decisión. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CITIZENGO realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, país y correo electrónico, entre otros tratamientos. CITIZENGO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que CITIZENGO está establecida en España, si bien presta servicio a toda la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, CITIZENGO tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 6 del RGPD regula la licitud del tratamiento de los datos personales. Y, en especial, las condiciones para el consentimiento se detallan en el artículo 7 del RGPD. III Licitud del tratamiento El apartado 1 del artículo 6 “Licitud del tratamiento” del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.