← España

PS-00251-2014

1/14 Procedimiento Nº PS/00251/2014 RESOLUCIÓN: R/02529/2014 En el procedimiento sancionador PS/00251/2014, instruido por la Agencia Española de Protección de Datos a la entidad REDCATS ESPAÑA, S.A., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04 y 13/06/2013, tuvieron entrada en el registro de la Agencia Española de Protección de Datos sendos escritos de Dña. A.A.A. (en lo sucesivo la denunciante) en los que pone de manifiesto los siguientes hechos: El día 09/02/2013, la denunciante realizó un pedido de un producto a través de una tienda online, en la dirección web www.vertbaudet.es, y recibió en su dirección C.C.C. un mensaje de confirmación en el que figura su nombre y la dirección postal para la entrega. Posteriormente, el día 11/02/2013 recibió un nuevo mail indicando que se había registrado el pedido, en el que se incluían los datos de número de cliente y número de pedido. La denunciante accedió a la web para comprobar la situación de su pedido y, al identificarse, el sistema le devolvió un error por contraseña no válida, Por ello, modificó la contraseña, utilizando el apartado “Recordar contraseña” y accedió a los datos personales de un tercero. El día 13/02/2013 remitió un mail a VERTBAUDET desde la propia web informando sobre la incidencia y aportando nuevamente su domicilio. El día 19/02/2013 recibió un mail de VERTBAUDET desde la dirección ......@vertbaudet.es, informándole que su pedido ha sido enviado. Al no recibirlo, la denunciante envió un nuevo mail a la entidad a la dirección ......@vertbaudet.es indicando que el pedido no había llegado. El día 20/02/2013 recibió un mail del Servicio de Correos (.....@correos.

  1. es)en el que le indican que el pedido de REDCATS ESPAÑA, S.A. se encuentra a su disposición en la oficina de correos correspondiente a su código postal. Al personarse en la oficina de Correos, el día 21/02/2013, le informan que el pedido no iba dirigido a su nombre, sino a nombre de un tercero, B.B.B., y por tanto no podía hacerse la entrega. El mismo día 21 remitió un nuevo mail a VERTBAUDET (......@vertbaudet.
  2. es)y contactó telefónicamente con la compañía informando sobre estos hechos. El día 22 recibe un nuevo mail de VERTBAUDET indicando que su pedido estaba en Correos y la denunciante remite nuevamente un correo a (......@vertbaudet.
  3. es)indicando la incidencia El día 23 de febrero recibe un mail de VERTBAUDET, según el cual han trasladado la incidencia al Departamento correspondiente y el día 25 recibe un nuevo mail indicando que van a proceder a la devolución del importe del pedido una vez que éste haya sido devuelto por el Servicio de Correos. El 20 de marzo la denunciante remite un nuevo correo solicitando la devolución del importe, recibiendo respuestas el 21 y 25 de marzo en las que informan que no han recibido el pedido devuelto. El 15 de abril vuelve a remite mail a VERTBAUDET interesándose por la devolución del pedido y le vuelven a contestar indicando que van a proceder a la devolución del importe. El 17, 19, 21, 22 de abril hay un intercambio de correos respecto a la forma de la devolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 El 29 de abril le remiten un correo al que se adjunta un acuse de recibo del Servicio de Correos en el que figura que dicho pedido se ha remitido a: B.B.B., en otro domicilio pero con el mismo código postal, que fue recogido en fecha 27/02/2013 por una persona autorizada. En esa misma fecha la denunciante remite un correo de reclamación y como respuesta recibe un correo indicando que no le devuelven el dinero ya que el pedido se ha remitido a la dirección indicada en la web en el momento de realizar el mismo. Con fecha 10 de mayo de 2013, recibe un nuevo mail en el que le indican que en la ficha de cliente consta su domicilio correcto, pero que facilitó la otra dirección y otro nombre para la entrega, por ese motivo se remitió a Correos con esos datos. Con su la denuncia aportó copia de la mayor parte de los correos mencionados y del aviso de la recogida del Servicio de Correos, en el que constan los datos de B.B.B. y otra dirección postal. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan en el Acta de Inspección E/3425/2013-I/1 realizada en los locales de las entidades VERTBAUDET ESPAÑA, S.L.U. (en lo sucesivo VERTBAUDET ESPAÑA) y REDCATS ESPAÑA, S.A. (en lo sucesivo REDCATS ESPAÑA) en fecha 19/02/2014: 1. VERTBAUDET ESPAÑA figura, en el Registro General de Protección de Datos, como responsable del fichero denominado CLIENTES VERBAUDET, que “Contiene los datos personales de las personas que realizan compras de productos de la empresa con la finalidad de prestar el servicio, entregar el producto y realizar acciones de publicada y prospección comercial”. Como encargado del tratamiento consta la compañía REDCATS ESPAÑA, S.A. 2. Con fecha 05/06/2013, por los Servicios de Inspección de la AEPD se accede al sitio web www.vertbaudet.es, a la página “Política de privacidad”, comprobando que la entidad VERTBAUDET ESPAÑA figura como responsable del tratamiento de los datos recabados a través de la misma. 3. La titularidad de la web www.vertbaudet.es corresponde a VERTBAUDET ESPAÑA, tal y como se especifica en la “Política de Privacidad” de la web 4. Respecto de la relación entre REDCATS ESPAÑA y VERTBAUDET ESPAÑA, manifiestan: 4.1. Hasta el primer semestre del año 2013, REDCATS ESPAÑA utilizaba las marcas comerciales de LA REDOUTE y VERTBAUDET. En abril de 2013 se crea la compañía KIDSVER ESPAÑA, S.L. y el 12 de junio de 2013 se modifica la denominación social por VERTBAUDET ESPAÑA, S.L.U. que opera baja la marca comercial VERTBAUDET. A este respecto, se ha aportado copia del contrato de compraventa de negocio suscrito entre KIDS BRAND GROUP INTERNATIONA SARL, empresa de Luxemburgo, y REDCATS ESPAÑA, de fecha 4 de marzo de 2013, en el cual consta que REDCATS ESPAÑA tiene como negocio la actividad de la marca de “Vertbaudet” en España y en este contrato se vende a la compañía luxemburguesa, incluyendo en el traspaso las bases de datos de clientes y el dominio de la web. También en este contrato consta que KIDS BRAND GROUP INTERNATIONA SARL está en proceso de constitución de una sociedad española filial (KISVER ESPAÑA, S.L.U.). Asimismo se ha aportado copia de la constitución de la sociedad KIDSVER ESPAÑA, S.L. de fecha 19 de marzo de 2013 y escritura de fecha 24 de abril de 2013 de cambio de denominación social de KIDSVER ESPAÑA, S.L.U. a VERTBAUDET ESPAÑA, S.L.U. 4.2. Por este motivo, se inscribe en el Registro General de Protección de Datos el fichero de CLIENTES VERBAUDET en fecha 26/06/2013 cuyo responsable es VERTBAUDET ESPAÑA y como encargado del tratamiento a REDCATS ESPAÑA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Ambas compañías tienen suscrito un contrato de prestación de servicio, de fecha 26/03/2013, por el cual REDCATS ESPAÑA SA gestiona el fichero de clientes. 4.3. El titular de la web www.vertbaudet.es es VERTBAUDET ESPAÑA desde que se constituyó esta sociedad. Con anterioridad la titular de la web era REDCATS ESPAÑA. 4.4. VERTBAUDET ESPAÑA tiene suscrito un contrato de prestación de servicios, de fecha 26/03/2013, con REDCATS PORTUGAL para la gestión y el mantenimiento de la web. Esta última compañía también tiene suscrito un contrato de encargado del tratamiento con REDCATS ESPAÑA de fecha 01/01/2013. 5. El procedimiento de realización de un pedido a través de la tienda on-line www.vertbaudet.es consiste en un registro de los datos del cliente, cumplimentando un formulario disponible en la web en el que se solicitan los siguientes datos obligatorios: nombre y apellidos, dirección de correo electrónico que se utilizará como código de usuario y una contraseña. Se obliga a aceptar la Política de Protección de Datos. Al realizar un pedido el sistema solicita, además, los siguientes datos obligatorios: dirección postal y número de teléfono móvil. Una vez confirmado, se remite un correo electrónico a la dirección registrada en el formulario indicando el número de pedido y, en caso de que se haya cumplimentado el formulario por primera vez, se remite también un correo confirmando la creación del usuario. Una vez finalizado el registro se puede acceder a la web utilizando el código de usuario y contraseña y se permite modificar cualquiera de los datos personales a excepción del correo electrónico. 6. Respecto del motivo por el cual los datos de la denunciante han sido modificados por los datos de una tercera persona de nombre y un apellido igual que, además, su domicilio se encuentra ubicado en el mismo código postal tal y como consta en el Acuse de Recibo emitido por el Servicio de Correos y aportado por la denunciante, VERTBAUDET ESPAÑA y REDCATS ESPAÑA manifiestan que no han tenido conocimiento de ninguna incidencia hasta la Inspección de la Agencia Española de Protección de Datos y a requerimiento de ésta han aportado informe elaborado por REDCATS PORTUGAL en el que se pone de manifiesto que: 6.1. En fecha 09/02/2013 se realizaron actualizaciones en la web www.vertbaudet.es que provocaron una incorrecta comunicación entre el Sistema de “Front Office” y el de “Back Office” en algún caso puntual. No se puede disponer de información concreta ya que las copias de seguridad se encuentran reutilizadas al haber transcurrido más de un año. 6.2. No obstante, consideran que la incidencia ha podido ocurrir de la siguiente manera:  El cliente se registra en la web como nuevo cliente y para ello cumplimenta sus datos en el Front Office confirmando esta actuación.  El proceso implica que el Front Office se comunica con el Back Office para validar los datos y crear un nuevo cliente. Este análisis está basado en 3 variables: email (búsqueda directa), teléfono (búsqueda directa) y datos de identificación y dirección (usado el software Uniserv para búsqueda de direcciones).  El Back Office, después del proceso de validación, tuvo que concluir que no existía ningún cliente con el email ni con el teléfono de la denunciante, pero que existía ya un cliente con datos muy similares y que ya tenía cuenta web.  En estos casos y con las reglas definidas del Back Office, el sistema impide la creación de la cuenta y envía un error para el Front Office conjuntamente con el número de cliente que ha encontrado. Esto tenía que haber impedido la creación de la cuenta de la denunciante.  El Front Office, debido a la inestabilidad puntual, ha recibido la información del Back Office pero ha ignorado el error y permitió proseguir con el pedido. Si el Back Office no hubiera ignorado el error, nunca hubiera dejado introducir el pedido. Al ignorar el error el Front Office ha asumido que ha sido creado un nuevo cliente con éxito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Al asumir que la cuenta de cliente ha sido creada con éxito, el sistema ha asociado los datos que el cliente ha introducido previamente en el formulario (datos que el Front Office tenía en memoria) al número de cliente retornado por el Back office juntamente con el error.  A partir de este momento el cliente puede elegir sus artículos, su método de pago y de entrega.  Después de finalizar la confirmación de pedido el Front Office envía para el Back Office los datos del pedido (en estos datos no se incluyen los datos del cliente y dirección, por cuanto el sistema ya lo detectaba como existente).  El Back Office después de recibir los datos del pedido (Numero de cliente ÷ código de promoción + artículos pedidos + tipo de entrega + datos de pago), registró el pedido con éxito, y devuelve al Front Office el status que el pedido ha sido registrado correctamente y el número de pedido.  El Front Office al recibir la confirmación de que el pedido ha sido registrado, procede a un envió de un email de confirmación de pedido al cliente.  Al tratarse de una creación de cuenta nueva los datos de la dirección enviados en el email de confirmación de pedido son los datos que ha introducido la clienta en el formulario cuando se ha intentado registrar (datos que el Front Office ha guardado en memoria y los he utilizado en todas las etapas del proceso de validación). En ningún momento los datos de dirección utilizados han sido devueltos por el Back Office.  Esto provocó que el pedido se remitiera a la dirección del Back Office, por cuanto es la que se utiliza para emitir la factura y realizar el envío, 6.3. En relación con las reclamaciones remitidas por la denunciante a través de la propia web, por correo electrónico y por teléfono, manifiestan que todas las reclamaciones se reciben en el Servicio de Atención al Cliente, que es el encargado de resolverlas o notificarlas al Departamento correspondiente. En este caso el Servicio de Atención al Cliente no reportó ninguna incidencia en relación con el cambio de los datos de la denunciante, ya que se consideró que los datos eran correctos y que coincidían con los aportados por la cliente para el envío del pedido ya que tenían constancia de que el pedido había sido retirado del Servicio de Correos tal y como consta en el Acuse de recibo que se remitió a la denunciante y que ha aportado a esta Agencia. No obstante, con fecha 03/07/2013 remitieron un correo a la denunciante indicando que se procedía a la devolución del dinero abonado y con fecha 05/07/2013 se procedió a realizar la transferencia tal y como consta en la documentación aportada por las compañías. 6.4. VERTBAUDET ESPAÑA y REDCATS ESPAÑA manifiestan que han procedido a la reprogramación en el Front Office en aplicación de creación de cuenta para respetar los códigos de errores enviados por el Back Office, confirmando su aplicación definitiva el 02/04/2013. 6.5. Se comprueba que la denunciante consta como cliente con los datos de domicilio postal correctos. Asimismo se verifica que consta un pedido de fecha 09/02/2013 en el que figuran como datos de entrega el nombre B.B.B. y un domicilio distinto ubicado en el mismo código postal que el de la denunciante. 6.6. No se ha obtenido constancia de la existencia de un cliente con nombre y apellidos B.B.B..  TERCERO: Con fecha 19/05/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad REDCATS ESPAÑA, por la presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  4. c)de dicha norma, pudiendo ser sancionada cada una de ellas con multa de 40.001 euros a 300.000 euros, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad REDCATS ESPAÑA presentó escrito de alegaciones en el que solicita la aplicación de lo establecido en el artículo 45.6 de la LOPD o, subsidiariamente, el artículo 45.5 de la misma norma, con la imposición de una sanción por el importe mínimo establecido, conforme a las consideraciones siguientes: . Reproduce las manifestaciones realizadas durante la fase de investigación, reiterando que la desactualización de los datos de la cliente se produjo por una anomalía fortuita del sistema, producto de una reprogramación parcial del sitio web efectuada el 09/02/2013, el mismo día en que la denunciante realizó una compra online. La incorrecta comunicación entre los sistemas de “Front Office” y el “Back Office” del sitio web provocó el funcionamiento anómalo de los procedimientos de validación y gestión de los datos y que se remitiera el pedido a una dirección y remitente equivocado, con la particularidad de que coinciden nombre, un apellido y código postal. . REDCATS ESPAÑA reprogramó diligentemente y de forma inmediata el sistema y procedió a la devolución del dinero a la denunciante. . Procede la aplicación del artículo 45.6 de la LOPD, o subsidiariamente el artículo 45.5, al no haber sido sancionada con anterioridad, así como por la concurrencia de varios de los criterios del artículo 45.4, como la ausencia de beneficios y perjuicios, la falta de intencionalidad, falta de reincidencia y existencia de procedimientos anteriores adecuados en la recogida y tratamiento de datos. Añade que ha regularizado la situación errónea y reconocido espontáneamente que la desactualización de los datos de la clienta vino motivada por las circunstancias antes reseñadas. QUINTO: Con fecha 15/07/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03425/2013. Asimismo, se tuvieron por presentadas las alegaciones formuladas por REDCATS ESPAÑA al acuerdo de inicio. SEXTO: Mediante Resolución de fecha 23/05/2006, dictada en el procedimiento sancionador señalado con el número PS/00226/2005, se acordó imponer a la entidad La Redoute Catálogo, S.A.U., actualmente REDCATS ESPAÑA, una multa por importe de 60.101,21 euros, por el incumplimiento de lo establecido en el artículo 11 de la LOPD. SEPTIMO: Con fecha 10/10/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a REDCATS ESPAÑA con multa de 15.000 euros (quince mil euros), por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  5. c)de la citada Ley Orgánica, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibe escrito de alegaciones de la entidad REDCATS ESPAÑA en el que manifiesta que no concurre el elemento de la culpabilidad, necesario para que pueda imponerse sanción, sin que resulte suficiente que la conducta sea antijurídica o típica, sino que también se requiere que sea culpable a título de dolo o negligencia. En este caso, no existe intencionalidad ni REDCATS ESPAÑA actuó culposamente; tenía implementados procedimientos adecuados y la asociación errónea de datos se produjo por una puntual falta de coordinación entre el “Back Office” y el “Front Office”, causada por la actualización de la página web. Se trata de un suceso no previsible y fortuito, lo que el instructor no puede discutir en la propuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Alega que no se puede imputar la responsabilidad sólo por no haber atendido las solicitudes de rectificación y añade que activó las medidas para poner remedio al error, lo que se retrasó debido a que una tercera persona recogió el pedido en Correos. En cuanto a la aplicación de lo establecido en el artículo 45.6 de la LOPD, considera que no puede tenerse en cuenta una sanción impuesta en el año 2006, conforme a los principios del orden penal, plenamente aplicables en las presentes actuaciones, como la procedencia de cancelar los antecedentes una vez extinguida la responsabilidad, según el artículo 136 del Código Penal, lo que resulta contrario a entender que el requisito del 45.6.
  6. b)permita contemplar cualquier antecedente. Asimismo, REDCATS ESPAÑA hace mención a lo establecido en el artículo 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), que no admite tener en cuenta la reincidencia como agravante por sanciones impuestas más allá del plazo de un año. Subsidiariamente, invoca de nuevo el principio de proporcionalidad y solicita que la sanción se adapte a los hechos concurrentes en la infracción, siguiendo los criterios de los artículos 45.4 de la LOPD y 131 de la LRJPAC. En este caso, la sanción propuesta no se ajusta a la gravead del hecho constitutivo de infracción, considerando el volumen de tratamientos, la ausencia de beneficio y perjuicios, la falta de intencionalidad, ausencia de reincidencia y existencia de procedimientos adecuados anteriores a los hechos. Así, solicita la imposición de una sanción por el importe mínimo previsto. HECHOS PROBADOS 1. Hasta el 04/03/2013, la entidad REDCATS ESPAÑA era la titular de la web www.vertbaudet.es. REDCATS ESPAÑA operaba bajo las marcas REDOUTE y VERTBAUDET. 2. Con fecha 04/03/2013, las entidades REDCATS ESPAÑA y KIDS BRAND GROUP INTERNATIONA SARL suscribieron un contrato de compraventa de negocio, por el que esta última adquiere el negocio correspondiente a la marca VERTBAUDET, incluyendo en el traspaso las bases de datos de clientes y el dominio de la web. 3. Con fecha 19/03/2013, la entidad KIDS BRAND GROUP INTERNATIONA SARL constituyó la sociedad KIDSVER ESPAÑA, S.L., actualmente denominada VERTBAUDET ESPAÑA, S.L.U. 4. Según consta en Acta de Inspección de 19/02/2014, los representantes de las entidades REDCATS ESPAÑA y VERTBAUDET ESPAÑA manifestaron que esta última es titular de la web www.vertbaudet.es desde su constitución en fecha 19/03/2013. 5. Con fecha 05/06/2013, por los Servicios de Inspección de la AEPD se accede al sitio web www.vertbaudet.es, a la página “Política de privacidad”, comprobando que la entidad VERTBAUDET ESPAÑA figura como responsable del tratamiento de los datos recabados a través de la misma. 6. La web www.vertbaudet.es está habilitada para que los usuarios interesados puedan realizar pedidos de los productos que comercializan las entidades responsables de la misma, para lo que deberán registrarse como clientes mediante la cumplimentación de un formulario insertado en dicha web, con detalle de sus datos personales relativos a nombre, apellidos y la dirección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 correo electrónico, que se utilizará como código de usuario, y una contraseña. Se obliga a aceptar la Política de Protección de Datos. Una vez finalizado el registro, se puede acceder a la web utilizando el código de usuario y contraseña. Asimismo, al realizar un pedido el sistema solicita los datos relativos a dirección postal y número de teléfono móvil. 7. Con fecha 09/02/2013, la denunciante realizó un pedido a través de la web www.vertbaudet.es, y recibió en su dirección de correo electrónico C.C.C., en la misma fecha, un mensaje de confirmación en el que figura su nombre, teléfono móvil y domicilio, señalando este dato como dirección postal para la entrega de los productos adquiridos (“Los artículos de este pedido serán entregados en esta dirección…”). 8. Con fecha 11/02/2013, la denunciante recibió un nuevo correo electrónico en relación con el pedido reseñado, en el que se indica: “Tus pedidos serán entregados en la oficina de Correos más cercana”. 9. Con fecha 13/02/2013, la denunciante remitió un correo electrónico a la dirección ......@vertbaudet.es en el que informa a la entidad REDCATS ESPAÑA que ha accedido la web www.vertbaudet.es para comprobar el estado de su pedido, habiendo comprobado que “tenía la dirección cambiada”. En este correo, la denunciante aporta nuevamente la dirección de su domicilio. 10. Con fecha 19/02/2013, la denunciante recibió un correo electrónico remitido desde la dirección ......@vertbaudet.es en el que le informan que su pedido había sido enviado a través de correos el 12/02/2013. El día siguiente, 20/02/2013, utilizando la misma vía, la denunciante advirtió nuevamente que el pedido no había llegado, recibiendo una respuesta con la sucursal de Correos en la que se encontraba dicho pedido “a su disposición”. 11. Con fecha 21/02/2013, la denunciante remitió un correo electrónico a la dirección ......@vertbaudet.es en el que informa a la entidad REDCATS ESPAÑA lo siguiente: “Me ha llegado un email de correos diciendo que vaya a recoger mi pedido. Cuando llego a correos me dicen que está a nombre de B.B.B., y que como soy yo “A.A.A.” no me dan el paquete. Por favor, solucionarlo lo antes posible…”. 12. Con fecha 22/02/2013, la denunciante recibió un correo electrónico remitido desde la dirección ......@vertbaudet.es en el que le reiteran que “tiene tu pedido pendiente de recoger en la oficina desde el día 20 de febrero”. La denunciante responde el mismo día y a la misma dirección de correo electrónico señalando lo siguiente: “Como he comentado a tu compañera por teléfono, y os he informado en un correo anterior, el pedido ha sido enviado a otra dirección distinta a la mía y a otra persona, por un error vuestro. He ido a correos y no me lo quieren dar porque está a nombre de B.B.B.… Ya lo expliqué en un correo anterior y por teléfono. Espero que esta vez sea la definitiva”. 13. Con fecha 23/02/2013, la denunciante recibió un correo electrónico remitido desde la dirección ......@vertbaudet.es en el que le informan lo siguiente: “Pasamos nota al departamento con la incidencia que nos comentas”. 14. Con fecha 29/04/2013, la denunciante recibió un correo electrónico remitido desde la dirección ......@vertbaudet.es al que adjuntan el justificante de entrega del pedido cumplimentado por el Servicio de Correos. En este justificante figura como destinataria del pedido Dña. B.B.B., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 con un domicilio distinto al de la denunciante. En el apartado “Autorizaciones” del justificante Dña. B.B.B. autoriza a otra persona para la retirada del pedido, que tiene lugar el día 27/02/20132. 15. Con fecha 29/04/2013, la denunciante remitió un correo electrónico de reclamación a la dirección ......@vertbaudet.es, señalando que el pedido se remitió a una persona distinta y fue retirado por otra autorizada por dicha destinataria. Como respuesta recibe un correo indicando que no le devuelven el dinero ya que el pedido se ha remitido “al nombre y a la dirección que indicaste al tramitar tu pedido por la web”. En otro correo posterior recibido por la denunciante, de fecha 10/05/2013, le indican que en la ficha de cliente consta su domicilio correcto, pero que facilitó otra dirección diferente para la entrega. 16. En un informe elaborado por la entidad REDCATS ESPAÑA sobre la incidencia reseñada en los Hechos Probados anteriores, de fecha 03/03/2014, se pone de manifiesto que en el mes de febrero de 2013 se realizaron actualizaciones en la web www.vertbaudet.es que provocaron una incorrecta comunicación entre el Sistema de “Front Office” y el de “Back Office” en algún caso puntual, sin que dispongan de información concreta sobre lo ocurrido el día 09/02/2013 dado que las copias de seguridad se encuentran reutilizadas al haber transcurrido más de un año. 17. Con fecha 19/02/2014, durante la inspección realizada, por los Servicios de Inspección de la AEPD se accede al fichero de clientes de la tienda on-line y se comprueba que la denunciante consta como cliente con los datos de domicilio postal correctos. Asimismo se verifica que consta un pedido de fecha 09/02/2013 en el que figuran como datos de entrega el nombre B.B.B. y un domicilio distinto ubicado en el mismo código postal que el de la denunciante. No se obtuvo constancia de la existencia de un cliente con nombre y apellidos B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento a la entidad REDCATS ESPAÑA una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado, como ocurre en el caso enjuiciado, en el que se han incoado indebidamente al denunciante hasta siete procedimientos sancionadores por infracciones de tráfico por parte del Ayuntamiento de Madrid… … el hecho imputado consiste en asociar un nombre y apellidos con un vehículo determinado, con el que se habían cometido determinadas infracciones de tráfico, y tal asociación de datos de carácter personal era claramente inexacta como el propio recurrente reconoce, ya que la persona a la que corresponden el nombre y apellidos facilitados al Ayuntamiento no era conductora de tal vehículo…>>. En este caso, consta acreditado que en el momento en que tuvo lugar la incidencia reseñada en la denuncia que ha motivado las actuaciones, la entidad REDCATS ESPAÑA era la responsable del sitio web www.vertbaudet.es y del fichero de clientes de la tienda on-line. Asimismo, consta que la denunciante accedió a dicha web y completó el proceso de registro para el alta como cliente a través del formulario insertado en dicha web, realizado posteriormente un pedido de varios artículos comercializados on-line en fecha 09/02/2013. Para completar este proceso, el interesado facilita a REDCATS ESPAÑA sus datos personales relativos a nombre, apellidos, dirección de correo electrónico, dirección postal y teléfono móvil (estos dos últimos datos se recaban al realizar el pedido). Una vez realizado el pedido, el sistema de información remite un correo electrónico a la dirección indicada por el cliente en el formulario de alta indicando el número asignado al mismo. En el caso de la denunciante, el mismo día 09/02/2013 recibió el correo de confirmación del pedido en el que figura su nombre, teléfono móvil y domicilio, que coincide con el señalado en la denuncia. Además, en dicho correo de confirmación se indica expresamente que los artículos del pedido se entregarían en esta dirección y que estos mismos datos se utilizarían para realizar la facturación y para contactar con la clienta, si fuera necesario. Por tanto, de lo expuesto resulta que el proceso de registro y el pedido fue correctamente realizado por la denunciante. A pesar de ello, según el detalle reseñado en los Hecho Probados, los datos personales de la denunciante se anotaron en el sistema de información de REDCATS ESPAÑA asociados al nombre, apellidos y dirección de una tercera persona, como lo prueba el hecho de que el pedido se enviara a nombre de ésta y dirigido a ese otro domicilio. La propia denunciante accedió al área de clientes de la web www.vertbaudet.es con su nombre de usuario y contraseña para comprobar el estado de su pedido, constatando que su domicilio figuraba cambiado, circunstancia de la que advirtió puntalmente a REDCATS ESPAÑA mediante correo electrónico de 13/02/2013 (Hecho Probado 13), en el que indicó nuevamente su domicilio correcto. En tres ocasiones más la denunciante solicitó al rectificación de los datos registrados (Hechos Probados 10 a 12), recibiendo una respuesta el 22/02/2013 en la que REDCATS ESPAÑA informó a la misma que comunicaban la incidencia al departamento correspondiente. Sin embargo, en otros dos correos de 29/04 y 10/05/2013 la citada entidad aún mantenía que fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 la denunciante la que facilitó una dirección de entrega distinta, en lugar de atender las reclamaciones formuladas por ésta. Por tanto, considerando las reiteradas reclamaciones de la denunciante y sus solicitudes de rectificación, no pueden aceptarse las alegaciones de REDCATS ESPAÑA, que manifestó a los servicios de inspección que consideraron correctos los datos y coincidentes con los facilitados por la denunciante. Finalmente, con posterioridad a la inspección realizada por la AEPD, REDCATS ESPAÑA admitió los hechos alegando que en el mes de febrero de 2013 se realizaron actualizaciones en la web www.vertbaudet.es que provocaron una incorrecta comunicación entre el Sistema de “Front Office” y el de “Back Office” en algún caso puntual. No obstante, y aunque en sus alegaciones REDCATS ESPAÑA insiste en señalar que se trata de un suceso no previsible y fortuito, durante la citada inspección advirtieron que no disponían de información concreta sobre lo ocurrido el día 09/02/2013, dado que las copias de seguridad fueron reutilizadas después de un año. Y durante la inspección realizada el 19/02/2014, por los Servicios de Inspección de la AEPD se accedió al fichero de clientes de la tienda on-line y se comprobó aún permanecían los datos del pedido de la denunciante asociados al nombre de la tercera persona con un domicilio distinto. En consecuencia, los datos personales de la denunciante fueron indebidamente asociados a los datos de un tercero, lo que constituye una vulneración del principio de calidad de datos plenamente imputable a la entidad REDCATS ESPAÑA, que tenía conocimiento de la inexactitud de tales datos y no atendió las solicitudes de rectificación formuladas por la afectada. REDCATS ESPAÑA actuó con total falta de diligencia, de acuerdo a la normativa de protección de datos. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos, visto que se trata de la protección de un derecho fundamental de las personas a las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, REDCATS ESPAÑA incumplió el mandato legal de que los datos respondan con exactitud a la situación real del denunciante, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. Tales hechos constituyen una vulneración de lo dispuesto en el artículo 4.3 de la LOPD de la que ha de responder la entidad REDCATS ESPAÑA conforme a las circunstancias expresadas. III La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
  8. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
  9. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
  10. c)de la LOPD por parte de REDCATS ESPAÑA, que trató datos inexactos de la denunciante, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. El principio de calidad de los datos se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. Concretamente, por lo que ahora interesa, el artículo 4.3 de la LOPD recoge el citado principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados. Por tanto, la conducta de REDCATS ESPAÑA vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de datos inexactos del denunciante, lo que encuentra su tipificación en el artículo 44.3.
  11. c)de la LOPD. IV El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto no cabe la aplicación de lo dispuesto en el citado artículo 45.6 de la LOPD, considerando que no se cumplen el requisito recogido en su apartado b), por cuanto la entidad REDCATS ESPAÑA fue sancionada con multa por importe de 60.101,21 euros mediante Resolución de fecha 23/05/2006, dictada en el procedimiento sancionador señalado con el número PS/00226/2005, por el incumplimiento de lo establecido en el artículo 11 de la LOPD. En cuanto a la aplicación de lo establecido en el artículo 45.6 de la LOPD, REDCATS ESPAÑA considera que no puede tenerse en cuenta una sanción impuesta en el año 2006. Cabe señalar que el citado apartado 6 del artículo 45 de la LOPD, según ha quedado trascrito, se encontraba en vigor en el momento en que tuvieron lugar los hechos constitutivos de la infracción que se declara y, por tanto, sus previsiones son plenamente aplicables al presente caso según el sentido propio de sus términos. En cualquier caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el citado artículo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera la especial diligencia que se exige a las entidades que operan a través de Internet en la recogida de datos personales. V El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la posibilidad de reducir la cuantía de la sanción, aplicando la escala que preceda en gravedad, siempre que exista una cualificada disminución de la culpabilidad o de la antijuridicidad del hecho, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando el volumen de tratamientos efectuados y la ausencia de intencionalidad. Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. En relación con los criterios establecidos en el artículo 45.4 de la LOPD para determinar la cuantía de la sanción impuesta, se tiene en cuenta, por un lado, la ausencia de beneficios y la acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos, que no consta el carácter continuado de la infracción y la ausencia de perjuicios distintos de los que resultan de la propia infracción cometida; y por otro lado, el tiempo transcurrido sin que la entidad REDCATS ESPAÑA atendiera las reiteradas reclamaciones de la denunciante para que sus datos personales fueran rectificados (con fecha 13/02/2013, unos días después del alta en el sistema de REDCATS ESPAÑA, la denunciante advirtió por primera vez que sus datos eran inexactos, en mayo la citada entidad aún mantenía que el domicilio de entrega del pedido había sido facilitado por la denunciante y en febrero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 2014 permanecían los datos de entrega a nombre de un tercero y en un domicilio incorrecto), por lo que procede la imposición de una multa por importe de 3.000 euros. De acuerdo con las circunstancias expresadas, no cabe estimar la solicitud formulada por REDCATS ESPAÑA para que se imponga una sanción por el importe mínimo establecido. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad REDCATS ESPAÑA, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  29. c)de dicha norma, una multa de 3.000 euros (tres mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a REDCATS ESPAÑA, S.A. y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.