1/8 Procedimiento Nº: PS/00247/2020 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00247/2020, instruido por la Agencia Española de Protección de Datos, ante la entidad, ORGANIC AND NATUR 03, S.L., con CIF.: B93484913 (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por la CONSEJERÍA DE SALUD Y FAMILIAS DE LA JUNTA DE ANDALUCÍA -DELEGACIÓN TERRITORIAL EN ***LOCALIDAD.1, (en adelante, “el organismo reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 28/11/29, tiene entrada en esta Agencia, denuncia presentada por el organismo reclamante en la que indicaba, entre otras, lo siguiente: “En este Servicio de Consumo se tramita el expediente de referencia correspondiente a las reclamaciones interpuestas contra la empresa ORGANlC AND NATUR 03 S.L. Tras el examen de la documentación aportada por el reclamante se comprueba que en el contrato de compraventa se insertan las condiciones generales nº 8 y nº 9, que pueden contravenir lo dispuesto en los artículos 5 y 6 de la Ley Orgánica 3/20l8, de 5 de diciembre, de Protección de Datos personales y garantía de los derechos digitales. Se trata de un contrato de adhesión en el que el consumidor, cuando presta su consentimiento para obligarse, acepta todas y cada una de las cláusulas predispuestas por el profesional sin posibilidad de negociación alguna. Las estipulaciones declaran: 8.— Por conocer el alcance y el contenido de la Ley Orgánica 15/99 de protección de daros personales, el comprador presta su consentimiento informado para que los datos personales facilitados en virtud de este contrato, y los que se deriven de esta relación puedan ser incorporados a los ficheros informartizados o no de ORGANIC AND NATUR 03 SL. Con independencia de lo anterior el comprador declara haber sido informado y presta su consentimiento para que: A) Dentro de los estudios crediticios y de solvencia patrimonial de ORGANIC AND NATUR 03 SL., o terceros actuando en su nombre o a los que haya cedido el crédito derivado de la compraventa, pueda realizar las investigaciones necesarias para la formalización del presente contrato y puedan ser utilizados procedimientos de scoring. B) ORGANIC AND NATUR 03 SL, pueda remitir cuanta información tenga por conveniente, siempre que guarde referencia con el objeto social de ORGANIC AND NATUR 03 SL, para el ejercicio de los derechos que reconoce la ley de protección de datos personales el comprador ha de dirigirse a ORGANIC AND NATUR 03 SL, en el domicilio social indicado en el anverso.
- — Además el comprador autoriza expresamente ORGANIC AND NATUR 03 SL. a que pueda ceder sus datos personales a la entidad financiera a la que ceda este crédito en su caso, con la finalidad de gestionar el mismo, así como, para remitirle ofertas comerciales de dicha entidad financiera que puedan resultar de su interés. Si no lo desea o si desea acceder, rectificar o cancelar sus datos personales rogamos se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 dirija a ORGANIC AND NATUR 03 SL en el domicilio que consta en el anverso de este documento. Consideramos que no es posible que todos los consumidores que adquieran productos fuera del establecimiento mercantil de la empresa ORGANlC AND NATUR 03 SL. conozcan previamente el alcance y contenido de la Ley Orgánica 3/2018”. Asimismo, es en todo punto improbable que los comerciales de la empresa, además de exponer a los asistentes al acto las características y virtualidades del producto que pretenden vender, les informen cumplidamente de las obligaciones que tiene la empresa respeto al tratamiento que de los datos de carácter personal conforme a la regulación jurídica contenida en la Ley Orgánica. Tampoco es creíble que un consumidor medio está capacitado para discernir sobre el significado ni la trascendencia de un procedimiento de scoring. Como quiera que consideramos que las cláusulas anteriormente transcritas pudieran ser contrarias a las disposiciones de la Ley Orgánica Ley Orgánica 3/2018 citada, se remite una copia del contrato aportado por el reclamante al objeto de que por esa Agencia se realicen las actuaciones que en Derecho procedan. Asimismo. interesamos que se nos informe del resultado de tales actuaciones”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 20/01/20 y 24/07/20, se dirigen requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada el 20/01/20, a través del servicio de NOTIFIC@, fue aceptada en destino el 31/01/
- Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada el 24/07/20, a través del servicio de NOTIFIC@, fue rechazada el 04/08/
- TERCERO: con fecha 09/09/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, por infracción de los artículos 13) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, al no tener adaptada su política de tratamiento de datos personales a la nueva normativa vigente y del artículo 7) del RGPD, al no recabar, de forma individualizada, el consentimiento del cliente, para el tratamiento de sus datos personales, cuando su fin sea distinto al perseguido en la ejecución del contrato. CUARTO: Con fecha 20/09/20, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1º.- En el artículo 8 de las “Condiciones Generales”, del contrato de adhesión entre la entidad reclamada y el usuario, se comprueba que en el mismo se sigue haciendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2º.- Respecto del consentimiento dado por el usuario, al que se hace referencia en el artículo 9 de las “Condiciones Generales”, del contrato de adhesión entre la entidad reclamada y el usuario, en el mismo se indica que: “Además el comprador autoriza expresamente ORGANIC AND NATUR 03 SL. a que pueda ceder sus datos personales a la entidad financiera a la que ceda este crédito en su caso, con la finalidad de gestionar el mismo, así como, para remitirle ofertas comerciales de dicha entidad financiera que puedan resultar de su interés(…)”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II Respecto del artículo 8 de las “Condiciones Generales”, del contrato de adhesión entre la entidad reclamada y el usuario, se comprueba que en el mismo se sigue haciendo referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Según el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue, “a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)” y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18, quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD. Por su parte, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Información que no aparece en la “política de privacidad” de la página web en cuestión. Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 De acuerdo con los preceptos indicados y a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La intencionalidad o negligencia en la infracción. En el presente caso estamos ante acción negligente no intencional, (apartado b). - Las categorías de los datos de carácter personal afectados por la infracción. (apartado g). - La forma en que la autoridad de control tuvo conocimiento de la infracción. La forma en que esta AEPD ha tenido conocimiento ha sido por la interposición de la denuncia por parte del organismo reclamante, (apartado h). De acuerdo con los preceptos indicados y a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 76.2 de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción de 4.000 euros, (cuatro mil euros). III Respecto del consentimiento dado por el usuario, al que se hace referencia en el artículo 9 de las “Condiciones Generales”, del contrato de adhesión entre la entidad reclamada y el usuario, en el mismo se indica que: “Además el comprador autoriza expresamente ORGANIC AND NATUR 03 SL. a que pueda ceder sus datos personales a la entidad financiera a la que ceda este crédito en su caso, con la finalidad de gestionar el mismo, así como, para remitirle ofertas comerciales de dicha entidad financiera que puedan resultar de su interés(…)”. Pues bien, el artículo 6.
- del RGPD, establece que el tratamiento solo será lícito si se cumple al menos una de las condiciones que se indican en el mismo, entre las que se encuentra, en su apartado b), si el tratamiento es “necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”, en cuyo caso, el envío de comunicaciones que guarden íntima relación con el fin del contrato firmado, estaría abalado por este precepto. No obstante, para cualquier otro tipo de comunicación con el cliente, como en este caso, para, “remitirle ofertas comerciales de la entidad (…)”, sin especificar una finalidad concreta, y donde cabría, por tanto, cualquier tipo de comunicación comercial fuera o no relacionada con el fin último del contrato firmado, se debe aplicar lo dispuesto en el apartado a) del artículo 6.1 del RGPD, donde se especifica que, “el tratamiento solo será lícito si el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Por su parte, el artículo 7 del RGPD, establece, sobre el consentimiento, que: “
- Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
- Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.
- El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
- Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. En relación con estos dos artículos citados, se debe tener en cuenta el considerando
(32)del RGPD, pues indica que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos…” Igualmente, el artículo 6.2 de la LOPDGDD establece, sobre el tratamiento basado en el consentimiento del afectado, que: “Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas”. Pues bien, de acuerdo con todo lo expresado anteriormente, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como en este caso, si es necesario para la ejecución de un contrato en el que el interesado es parte, en cuyo caso el envío de la correspondencia, incluida la comercial, que estuviera ligada a la ejecución del contrato, estaría abalada por este precepto. No así, cuando el envío de correspondencia comercial no tiene la misma finalidad que la incluida en el contrato, en cuyo caso, es necesario el consentimiento del interesado prestado válidamente. Este consentimiento debe darse para cada una de las finalidades ajenas al contrato firmado por el cliente. No es válido, por tanto, una aceptación genérica, como “el envío de correspondencia comercial de la entidad”, sin dar opción a dar un consentimiento individualizado para cada una de ellas y sobre todo, si son ajenas a la finalidad del contrato. Así las cosas, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 realizar la recogida del consentimiento mediante una acción genérica para todos los fines del tratamiento de los datos. Por su parte, el artículo 72.1.
- c)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente, pues en este caso, no se ha constatado que la entidad reclamada haya realizado envío de correspondencia comercial ajeno al fin último de las condiciones del contrato. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “APERCIBIMIENTO”, por la infracción del artículo 7 del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: IMPONER a la entidad, la entidad ORGANIC AND NATUR 03, S.L., con CIF.: B93484913, dos sanciones, respecto de la política de privacidad y recogida de consentimiento, consistente en: - 4.000 euros (cuatro mil euros), por la infracción del artículo 13) del RGPD, respecto a su política de tratamiento de los datos personales de los clientes. - Apercibimiento, por la infracción del artículo 7) del RGPD, respecto a la recogida del consentimiento de los clientes para el tratamiento de sus datos personales. SEGUNDO: REQUERIR a la entidad ORGANIC AND NATUR 03, S.L. para que, en el plazo de un mes desde este acto de notificación, proceda a: - Tomar las medidas necesarias para adecuar su política sobre el tratamiento de datos personales, a lo estipulado en el artículo 13 del RGPD, adecuándola a la nueva normativa vigente. - Tomar las medidas necesarias para recabar el consentimiento del cliente para el tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 TERCERO: NOTIFICAR la presente resolución a la entidad ORGANIC AND NATUR 03, S.L, y al reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es