1/12 Procedimiento Nº PS/00243/2015 RESOLUCIÓN: R/02980/2015 En el procedimiento sancionador PS/00243/2015, instruido por la Agencia Española de Protección de Datos a la entidad EL CORTE INGLES, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 29/05/2014, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en la que pone de manifiesto los siguientes hechos: “PRIMERO: El pasado 13/03/2014 entré en la página web www.primeriti.es, e interesándome adquirir una serie de productos a través de ella, decidí inscribirme en la misma, pues solo vendía a clientes inscritos en ésta. Seguí los pasos indicados por dicha web y rellené una ficha de inscripción, en donde la empresa recababa mis datos personales. Destacar que en el momento de introducir mis datos me equivoqué con el código postal de las señas postales recabadas, y el mismo sistema me rectificó el error, reconociendo por tanto que la residencia era de la provincia de Las Palmas. Tras culminarse la inscripción, me remitieron un correo electrónico donde me certificaban la inscripción y además me informaban que mis datos iban a ser cedidos al grupo de empresas de El Corte Inglés, cosa de la que me enteré en ese momento, y cuando el motivo por me había dado de alta en dicha web era el de poder comprar a través de la web de PRIMERITI. SEGUNDO: Que a la hora de hacer la primera compra, cuando fui a culminar la operación informando de los datos postales para remitir el pedido, no me permitió hacerlo, pese a ser los mismos que introduje cuando hice la inscripción. El error que daba era con respecto al desplegable de la provincia. Desplegué dicha ventana pero mí provincia no aparecía recogida entre las que daba como opción dicho desplegable, cosa que me extrañó pues a la hora de hacer la inscripción sí estaba, y se me había permitido sin ningún problema. Que tras varios intentos fallidos, remití un correo electrónico al Servicio de Atención al Cliente de la web, comunicando la incidencia. TERCERO: Que al día siguiente recibí una respuesta del SAC, donde me informaban que sus servicios solo eran prestados en la Península y en Baleares. Sintiéndome discriminado por territorio y engañado como usuario, pues entendía que habían obtenido mis datos personales para un fin distinto al que iban a ser destinados, todo ello mediante tácticas, a mí entender, que inducían a la confusión de sus clientes, les contesté con otro e-mail mostrando mí disconformidad, a lo que respondieron que me diera de baja en su web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 CUARTO.- Destacar que desde la fecha de inscripción compañías del grupo de El Corte Inglés me empezaron a remitir correos electrónicos a diario, ofertándome sus productos y servicios, por lo tanto, para prestarme el servicio por el que me inscribí en su web mis datos no eran válidos, pero para remitirme campañas de la compañía reclamada sí. QUINTO.- Que disconforme con toda ésta situación, decidí presentar una reclamación en la OMIC de Santa Lucía, fecha de entrada el 18/03/2014, quienes tras dirigirse al Departamento de Atención al Cliente de la compañía, obtuvieron el 25/04/2014 una respuesta de ésta, donde manifestaban que no vendían los productos que ofertaban en la Comunidad Autónoma de Canarias, cosa que alegaban que mencionaban en el apartado de “Condiciones de Uso”, destacaban que procedían a borrar mis datos personales de sus archivos de clientes, anulándose por tanto el registro, sin entrar en ninguna otra aclaración. SEXTO.- Que no estoy de acuerdo con ésta respuesta, pues me reitero que la empresa reclamada recabó mis datos personales de una manera fraudulenta, pues cuando me fui a registrar en la página web www.primeriti.es, en ningún momento se me advirtió que no se me iba a poder prestar el servicio por el que me estaba registrando, que no era otro que el de adquirir productos a través de ésta, para que me fueran remitidos a mí domicilio, ni tampoco se estableció filtro alguno que impidiera el culminar la operación de recogida de datos, tal y como sí se estableció en el momento de culminación de la compra, donde no se me permitió introducir los datos de mí provincia de residencia. Que la compañía utilizó los datos obtenidos a partir de dicha inscripción, para remitirme correos electrónicos con publicidad de su grupo de empresas, y eso que yo les había manifestado mí disconformidad con la manera de obtener mis datos y mi disconformidad con la inscripción. Al objeto de que por parte de esa Agencia Española de Protección de Datos se pueda comprobar lo señalado, se adjunta la documentación que a continuación e detalla: 1.- Copia de la ficha de inscripción 2.- Correo electrónico donde comunicaba la incidencia 3.- Respuesta obtenida a incidencia 4.- Pantallazo de e-mails recibidos de la compañía tras registro. 5.- Correos electrónicos remitidos por parte de compañías del grupo de empresas de la entidad reclamada, tras registro 6.- Formulario de reclamación OMIC y escrito 7.- Notificación de reclamación 8.- Respuesta de compañía.” SEGUNDO: En fecha 21/08/2014 la Inspección de Datos de esta Agencia obtiene impresión de pantalla de la siguiente información obtenida a través de Internet: - Formulario de recogida de datos contenido en el sitio web https://primeriti.elcorteingles.es - Información que se explicita en la citada web, a través del enlace “política de seguridad y confidencialidad” incorporado al aludido formulario de recogida de datos en donde se recoge “3.- El cliente autoriza expresamente a El Corte Inglés para que los datos de este registro y cuentos se obtengan para el desarrollo de las relaciones contractuales entre ambas partes puedan ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 facilitadas a las empresas del grupo El Corte Inglés para que dichas empresas puedan efectuar estudios de mercado y ofrecerle al cliente productos y servicios que puedan resultar de su interés.” TERCERO: Con fecha 20 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EL CORTE INGLES, S.A. (en lo sucesivo EL CORTE INGLES), por presunta infracción de infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 11.3 de la LOPD, artículos 15 y 45.1.
- b)del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de dicha norma, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, EL CORTE INGLES formuló las siguientes alegaciones: 1ª.El Club de ventas privado de Primeriti es un departamento de EL CORTE INGLES. 2ª.En la página web de Primeriti www.primeriti.es el cliente debe registrase y rellenar una ficha con sus datos personales, ficha en la que además de la correspondiente casilla sobre la política de seguridad y confidencialidad, al final de dicha página se permite al cliente elegir si quiere o no recibir publicidad del grupo de empresas de EL CORTE INGLES para lo cual existe una casilla con el literal: “Marque esta casilla si no desea recibir publicidad de Grupo de Empresas del Corte Inglés.” Asimismo, una vez que se inicia el proceso de registro, aparece la pantalla en la que se le da al cliente la posibilidad de recibir solo los newsletter de Primeriti, es decir, puede haberse negado a recibir publicidad del grupo EL CORTE INGLES, pero si puede elegir recibir sólo de Primeriti o no. En la siguiente pantalla del proceso de registro el cliente puede modificar su ficha, y tras ello, pasar a la pantalla donde puede modificar, también, su elección sobre recibir o no publicidad. Finalizado el proceso de alta una última pantalla ofrece la posibilidad de darse de baja en el envío de publicidad a través de un enlace habilitado al efecto. 3ª.Cuando el cliente se registra en la web de Primeriti www.primeriti.es recibe la información necesaria para saber la finalidad (remitirle comunicaciones comerciales) a la que se destinaran los datos que se comunican. La frase ““Marque esta casilla si no desea recibir publicidad de Grupo de Empresas del Corte Inglés” es lo suficientemente clara y explícita como para que el cliente sepa que la finalidad de la comunicación es el envío de publicidad. EL CORTE INGLES es una sociedad lo suficientemente conocida como para que sea necesario incluir una relación detallada de causa uno de los sectores, productos y servicios que presta al público, teniendo en cuenta que cada vez que se incorpora un nuevo grupo de productos a la venta o servicios que se prestan al cliente, la información facilitada en el momento del registro sería inválida por incompleta. QUINTO: En fecha 20/10/2015 se emitió propuesta de resolución en el sentido de imponer a EL CORTE INGLES una multa de 40.000 € por la infracción del artículo 5.1 de la LOPD, en relación con los artículos 15 y 45 del RLOPD, tipificada como leve en el artículo 44.2.
- c)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 SEXTO: Notificada la propuesta EL CORTE INGLES alegó en síntesis que en la página web de primeriti, en la página principal, al final de la misma, junto a las condiciones de uso, está el apartado política de privacidad en la cual se especifica que el cliente autoriza la cesión de sus datos a EL CORTE INGLES, EFC, S.A. y el resto de empresas del grupo (cuya composición actualizada y actividades pueden consultarse pinchando en un link), para las concretas finalidades que se explicitan en dicha política. HECHOS PROBADOS PRIMERO: En fecha 13/03/2014, el denunciante se registró en la página web www.primeriti.es facilitando sus datos personales: e-mail, nombre y apellidos, sexo, fecha de nacimiento, NIF, y dirección postal (folios 1-2, 5-6) SEGUNDO: El Club de ventas privado de Primeriti que funciona a través de la web www.primeriti.es es un departamento de EL CORTE INGLES (folio 36) TERCERO: La política de seguridad y confidencialidad contenida en la web www.primeriti.es informa que EL CORTE INGLES es el responsable del fichero al que se incorporan los datos de quienes se registran en la citada página web (folios 24, 26) CUARTO: El formulario de recogida de datos (ficha de cliente) contenido en la página web www.primeriti.es contiene un enlace a la “política de seguridad y confidencialidad” en donde, en fecha 22/01/2015, se explicita que “El cliente autoriza expresamente a EL CORTE INGLES para que los datos de este registro y cuantos se obtengan para el desarrollo de las relaciones contractuales entre ambas partes puedan ser facilitados a las empresas del Grupo EL CORTE INGLES para que dichas empresas puedan efectuar estudios de mercado y ofrecerle al cliente productos y servicio que puedan resultar de su interés.” (folios 24, 26) QUINTO: El formulario de recogida de datos (ficha de cliente) contenido en la página web www.primeriti.es refleja que la ficha es válida para todas las empresas del Grupo EL CORTE INGLES. Asimismo contiene una casilla con el literal: “Marque esta casilla si no desea recibir publicidad de Grupo de Empresas del Corte Inglés.” En una pantalla posterior del proceso de registro se encuentran cláusulas para que sean marcadas en el caso de que el cliente quiera recibir el newsleter (de cada campaña o semanal) de Primeriti. En la siguiente pantalla del proceso de registro el cliente puede modificar su ficha, y tras ello, pasar a la pantalla donde puede modificar, también, su elección sobre recibir o no publicidad tanto del Grupo de Empresas del CORTE INGLES, como de Primeriti (newsletter de cada campaña o semanal). Finalizado el proceso de registro del cliente una última pantalla ofrece la posibilidad de darse de baja en el envío de publicidad a través de un enlace habilitado al efecto (folios 5-6, 25, 51-60) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 SEXTO: A fecha 05/11/2015, la web contiene en el apartado “Política de privacidad” en la cual se explicita que “El cliente autoriza expresamente a El Corte Inglés para que los datos de este registro y cuantos se obtengan para el desarrollo de las relaciones contractuales entre ambas partes puedan ser facilitados a Financiera El Corte Inglés, EFC, S.A., cuya actividad es la financiación y su domicilio se encuentra en la Calle Hermosilla, 112, 28009 de Madrid, así como al resto de las empresas del Grupo El Corte Inglés para que, tanto la Financiera como dicho Grupo puedan efectuar estudios de mercado, así como desarrollar acciones comerciales sean de carácter general o adaptadas a sus características personales, sobre viajes, seguros, productos financieros y venta minorista de bienes y servicios, perdurando su autorización hasta que no sea revocado el consentimiento. La composición actualizada de las empresas del Grupo El Corte Inglés y la actividad de las sociedades que lo integran figura en la página web:http://www.elcorteinglescorporativo.es. “ (folios 75-83) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a EL CORTE INGLES una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, EL CORTE INGLES debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. El alcance y la manera en la que debe recabarse el consentimiento vienen recogida en los arts. 12.2 y 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establecen lo siguiente: “Artículo 12 Principios generales 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Corresponde pues analizar el contenido y alcance del consentimiento que EL CORTE INGLES solicita a sus clientes a través del formulario (ficha cliente) que debe ser rellenado cuando el usuario se registra en la página web www.primeriri.es. El artículo 30 de la LOPD, de los “Tratamientos con fines de publicidad y prospección comercial”, dispone: “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento”. (El subrayado es de la AEPD) A su vez, el RLOPD establece en el artículo 45.1: “Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, solo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (..)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad de los que podrá recibir información o publicidad.” (El subrayado es de la AEPD) Conforme a este precepto el tratamiento de los datos personales con fines publicitarios - salvo que los datos tratados procedan de fuentes de acceso público- exige que el interesado los haya proporcionado o bien que se hayan obtenido con su consentimiento debiendo en todo caso haber sido informado de cuáles serán los sectores de actividad de los que va a recibir publicidad. El alcance de esta obligación de informar ha de matizarse a la luz de la SAN de 16/01/2013, que consideró suficiente la remisión a una página web que informe de cuáles son las empresas que pertenecen al grupo empresarial, sin que se exija para entender cumplida la obligación del artículo 45.1. b. del RLOPD que se haga una relación de los diferentes sectores o actividades de los que se podría recibir información o publicidad. Muy esclarecedora resulta en este punto la citada SAN en cuyo Fundamento de Derecho Sexto se indica: “Por otra parte, la resolución impugnada considera que no se especifican las finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial y no se informa sobre los sectores específicos y concretos sobre los que podrá recibir información o publicidad comercial, vulnerando el artículo 45 del Reglamento de desarrollo de la LOPD.(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 En el catálogo de la Tienda en Casa, se alude a las ofertas comerciales de empresa del grupo El Corte Inglés, haciéndose referencia también a las empresas del grupo El Corte Inglés, en la página web (…) y en el talón de venta, sin que, efectivamente como reseña la resolución recurrida se informe sobre los sectores específicos y concretos sobre los que podrá recibir información. Ahora bien, considera la Sala, que para cumplir el citado deber de información no es necesario que se reseñen en los citados documentos los variados sectores o actividades a que se dedican las empresas del grupo El Corte Inglés, sino que bastará con una remisión a una página web que informe de las empresas del grupo….”. (El subrayado es de la AEPD) Advertir también, a propósito de la cesión, con fines publicitarios, de los datos del cliente por EL CORTE INGLES a las empresas de su grupo, que el artículo 11 de la LOPD sobre la comunicación de datos, precisa en su apartado 3: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar”. (El subrayado es de la AEPD) Recordemos que el formulario de recogida de datos (ficha de cliente) contenido en la página web www.primeriti.es contiene un enlace a la “política de seguridad y confidencialidad” en donde se explicita que “El cliente autoriza expresamente a EL CORTE INGLES para que los datos de este registro y cuantos se obtengan para el desarrollo de las relaciones contractuales entre ambas partes puedan ser facilitados a las empresas del Grupo EL CORTE INGLES para que dichas empresas puedan efectuar estudios de mercado y ofrecerle al cliente productos y servicio que puedan resultar de su interés.” Asimismo el citado formulario refleja que la ficha es válida para todas las empresas del Grupo EL CORTE INGLES y contiene una casilla con el literal: “Marque esta casilla si no desea recibir publicidad de Grupo de Empresas del Corte Inglés.” En una pantalla posterior del proceso de registro se encuentran casillas para que sean marcadas en el caso de que el cliente quiera recibir el newsleter (de cada campaña o semanal) de Primeriti. En la siguiente pantalla del proceso de registro el cliente puede modificar su ficha, y tras ello, pasar a la pantalla donde puede modificar, también, su elección sobre recibir o no publicidad tanto del Grupo de Empresas del CORTE INGLES, como de Primeriti (newsletter de cada campaña o semanal). Finalizado el proceso de registro del cliente una última pantalla ofrece la posibilidad de darse de baja en el envío de publicidad a través de un enlace habilitado al efecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Así pues la exigencia de informar sobre el tipo de actividad que viene impuesta por el artículo 45.1.
- b)del RLOPD y el artículo 11.3 de la LOPD, a la luz de criterio seguido por la Audiencia Nacional en su Sentencia 16/01/2013 no se cumplió por cuanto EL CORTE INGLES no ofrecía al cliente la posibilidad de informarse de cuáles son las empresas del grupo a las cuales sus datos van a ser cedidos y tampoco los concretos sectores de actividad de las citadas empresas de las cuales va a recibir publicidad conforme al consentimiento que se solicita en el momento de registrarse en la citada página web de EL CORTE INGLES. Decimos que tal obligación no se cumplía por cuanto sin embargo, a fecha 05/11/2015 la política de privacidad de EL CORTE INGLES reflejada en la página web www.primeriti.es contiene una información distinta a la que se constató se contenía en fecha 22/01/2015, por cuanto en la actualidad (fecha 22/11/2015) se informa de que los datos serán cedidos a EL CORTE INGLES , EFC, S.A. y demás empresas del grupo especificando la finalidad del envío de comunicaciones comerciales en sectores concretos (viajes, seguros, productos financieros y venta minorista de bienes y servicios). Asimismo consta un enlace para acceder a la página corporativa del grupo que permite conocer las empresas que en el momento de consulta forman parte del grupo EL CORTE INGLES. Por tanto en el caso que nos ocupa se ha podido comprobar que EL CORTE INGLES incumplió lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del RD 1720/2007, en la medida en que se ha podido comprobar que el formulario habilitado por la entidad en la web www.primeriti.es para la recogida de datos personales (ficha de cliente) en el que constan los datos personales del interesado relativos a nombre, apellidos, DNI, domicilio, fecha de nacimiento, sexo, y e-mail, que se incorporarán a los ficheros de dicha entidad, contenía una leyenda informativa en materia de protección de datos de carácter personal que no se ajustaba a las previsiones normativas reseñadas en la medida en que no informaba al cliente de las empresas a las cuales sus datos eran cedidos (ni la posibilidad de obtener tal información en la web corporativa del imputado), ni los sectores concretos de actividad sobre los cuales autorizaba el envío de publicidad.. III El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, EL CORTE INGLES recabó datos personales sin facilitar a su titular la información que señala el artículo 5 de la LOPD, por cuanto la información facilitada en la web www.primiriti.es no permitía conocer al usuario que facilitó sus datos la empresas a las cuales estaba consintiendo su tratamiento, ni los sectores concretos de actividad, por lo que debe considerarse que incurrió en la infracción leve descrita. IV El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y, en especial, considerando, por un lado, la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y, por otro que ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada en la medida en que la política de privacidad contenida en la web www.primeritti informa de los sectores de actividad sobre los cuales el usuario autoriza la recepción de publicidad, y posibilita el conocimiento de las empresas del grupo EL CORTE INGLES a las cuales son cedidos los datos y se consiente en el desarrollo de acciones comerciales, procede la imposición de una multa por importe de 10.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EL CORTE INGLES, S.A., por una infracción del artículo 5.1 de la LOPD, en relación con los artículos 15 y 45.1.
- b)del RLOPD, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa de 10.000 € (diez mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a EL CORTE INGLES, S.A., y a A.A.A.. D. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es