PS-00371-2016

1/46 Procedimiento Nº PS/00371/2016 RESOLUCIÓN: R/00596/2017 En el procedimiento sancionador PS/00371/2016, instruido por la Agencia Española de Protección de Datos a la entidad ASOCIACIÓN DE TÉCNICOS DE INFORMÁTICA (ATI), vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de enero de 2016 tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, en el que manifiesta que: 1. Es socio de la ASOCIACIÓN DE TÉCNICOS DE INFORMÁTICA, en adelante ATI, desde 1996. ATI proporciona una serie de servicios informáticos de los que no ha tenido queja hasta el año 2015. A lo largo de ese periodo fue aceptando los términos y condiciones de servicio que le permitieron, entre otras cosas, utilizar las cuentas de correo .....@ati.es e ....1@. 2. A lo largo de 2015 comprueba que la privacidad de los socios está siendo invadida por el servicio denominado MailChimp prestado en años recientes sin que sus condiciones hayan sido sometidas a su aprobación. 3. MailChimp es un servicio de gestión de envíos masivos de correo electrónico prestado por la sociedad The Rocket Science Group, con sede en los Estados Unidos de América. 4. El servicio MailChimp establece un identificador único para cada uno de los destinatarios de los correos y, mediante el uso de web beacons y alterando los enlaces incluidos en los correos, permite a ATI conocer qué destinatarios han abierto qué correos y cuando, y lo mismo en relación con los enlaces incluidos en dichos correos: quién ha seguido qué enlaces y cuando. Esta capacidad de seguimiento es reconocida por el prestador del servicio, tanto en sus términos y condiciones de uso como en su política de privacidad. Los socios de ATI llevan más de un año recibiendo un promedio de tres mensajes mensuales. 5. Para que los socios de ATI reciban los envíos del servicio MailChimp, es evidente que ATI ha tenido que suministrar al servicio la relación completa de las direcciones de correo electrónico de sus socios, lo que es una transferencia internacional de datos personales fuera de la Unión Europea que no se ha consultado ni sometido a la aprobación de los socios. 6. ATI cede los datos personales de sus socios a MailChimp para que haga de intermediario en las comunicaciones con los socios meses después de la invalidación del acuerdo de “Puerto Seguro“ (Safe Harbor) por el Tribunal de Justicia de la Unión Europea (TJUE). Según el denunciante, “la prestación continuada del servicio desde Estados Unidos en pleno 2016 es una infracción indefendible”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/46 El escrito de denuncia aporta copia de mensajes enviados desde la dirección ....2@atinet.es (con cabecera completa y código fuente) recibidos por el denunciante y por otros socios de ATI que se los enviaron a petición propia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes extremos: Sobre MailChimp y su capacidad de seguimiento 1. El servicio MailChimp, según está definido en las condiciones de uso de su propio sitio web http://mailchimp.com/legal....., es un servicio de correo electrónico que permite crear, enviar y gestionar boletines de correo electrónico a destinatarios individuales. El servicio es prestado por The Rocket Science Group LLC, en adelante TRS, una sociedad de responsabilidad limitada con sede en el estado de Georgia, en los Estados Unidos de América. 2. Las condiciones de uso del servicio MailChimp establecen que: 2.1. El prestador del servicio podrá ver, copiar y distribuir internamente contenido de los correos electrónicos de sus clientes para crear algoritmos y programas que les ayuden a detectar problemas con las cuentas de usuario (Punto 16 de las condiciones de uso). 2.2. El cliente es responsable de determinar si MailChimp es un servicio adecuado para su uso teniendo en cuenta cualquier regulación, entre la cuales se citan las leyes de privacidad de datos de la Unión Europea (Punto 20 de las condiciones de uso.). Si el cliente está ubicado en el Espacio Económico Europeo o hace envíos a alguien ubicado en él, el cliente garantiza que:  Obtendrá el consentimiento expreso para transmitir datos a MailChimp y que éstos sean tratados, y que cumplirá en caso contrario con cualquier otra política de privacidad que usted haya publicado.  Ha firmado nuestro acuerdo (http://mailchimp.com..................... ). de tratamiento de datos TRS proporciona un modelo de contrato para el tratamiento de datos en cumplimiento con las cláusulas contractuales estándar. 3. La política de privacidad del servicio, accesible únicamente en lengua inglesa en http://mailchimp.com.....................1, con fecha 8 de marzo de 2016 establecía que: 3.1. Cuando el cliente utiliza MailChimp TRS está proporcionando información que la entidad recoge. La información recogida, tanto del cliente y como de sus suscriptores al boletín, puede incluir la dirección IP, nombre, dirección física, dirección de correo electrónico, número de teléfono, y otros datos cuya lista completa se encuentra en el punto 5.1 de la política de privacidad. 3.2. Cuando el cliente usa MailChimp, TRS puede almacenar cookies, etiquetas o scripts (cadenas de código), en su ordenador. TRS y sus proveedores de servicios de analítica web (como Google) usan esas cookies para recoger C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/46 información de su visita y su uso de nuestro sitio y nuestros servicios (Punto 5.4 de la política de privacidad. 3.3. Cuando TRS envía correos electrónicos a sus clientes o a los suscriptores de sus clientes incluye pixel gifs, también llamados web beacons, (Punto 5.5 de la política de privacidad), que les permiten recoger información sobre el comportamiento de los destinatarios y saber, por ejemplo, quién y cuándo ha abierto los correos, quién ha hecho click sobre los enlaces, su dirección IP, tipo de navegador y detalles similares. Hacen ese seguimiento con la finalidad de medir la efectividad de sus campañas de correo electrónico y mejorar las características del servicio para segmentos específicos de clientes. 3.4. TRS puede obtener más información de sus clientes y suscriptores como nombre, edad y uso de redes sociales realizando búsquedas en Internet o consultando con terceras partes. (Punto 5.6 de la política de privacidad) La finalidad de esta información complementaria es elaborar características como Perfiles Sociales, una herramienta que ayuda al cliente a aprender sobre sus suscriptores y enviarles contenido más relevante. 3.5. Como parte de sus servicios, TRS puede usar e incorporar a sus características información agregada de la proporcionada por el usuario o recogida por TRS de los suscriptores del usuario. TRS puede compartir esa información agregada, incluyendo la dirección de correo electrónico de los suscriptores, con terceras partes tal y como se indica en la sección 6 (Punto 5.6 de la política de privacidad). 3.6. Anteriormente MailChimp certificó su cumplimiento del acuerdo de “Puerto Seguro”. Como consecuencia de la Sentencia de 6 de octubre de 2015 del Tribunal de Justicia de la Unión Europea (C-362/14) los usuarios ubicados en Europa y Suiza deben de solicitar el acuerdo de tratamiento de datos que incorpora las cláusulas contractuales estándar. 4. En el sitio web del servicio MailChimp existen páginas y documentos en inglés (http://kb.mailchimp.com.....................2) y en español (http://kb.mailchimp.com.....................2, http://kb.mailchimp.com.....................3) que describen las capacidades de seguimiento del servicio, su configuración y los informes elaborados. (folios 373 al A los efectos de no ser reiterativos se remite al Hecho Probado nº 8 en el que se recoge parte de la información proporcionada en dichos sitios sobre el funcionamiento del seguimiento de las aperturas de los correos y el seguimiento de los clicks en los enlaces. En uno de los ejemplos se muestran las aperturas de un correo y los clicks realizados en los enlaces de un suscriptor individual para un envío concreto. (folio 377) Sobre el tratamiento de los datos realizados por ATI 5. Constan un total de 9 ficheros inscritos en el Registro General de Protección de Datos en los que ATI figura como responsable. El fichero de “ASOCIADOS”, inscrito en el año 2011 tiene como finalidad declarada la “GESTION DE LOS ASOCIADOS: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/46 FACTURACION, PRESTACION DE LOS SERVICIOS DE FORMACION, ASESORAMIENTO PROFESIONAL, ENVIO DE PUIBLICACIONES, ASESORAMIENTO LABORAL, ENVIO DE OFERTAS Y PROMOCIONES RELACIONADOS CON EL SECTOR DE LA INFORMATICA.” 6. Los destinatarios de los correos electrónicos remitidos utilizando el servicio MailChimp son socios de ATI o “amigos” de ATI, personas que son invitadas a formar parte de la asociación durante un año sin necesidad de pagar la cuota de socio. Cualquier persona con titulación de informática o con una experiencia acreditada en el ejercicio de la profesión puede ser socio de la ATI. No es necesario que los socios ejerzan como profesionales liberales o autónomos. Consultado el fichero de socios de ATI a 12 de abril de 2012, constan 1.796 socios. 7. El usuario de ATI del servicio MailChimp disponía de una lista de destinatarios denominada “Socios ATI” y de otra denominada “Amigos ATI” sobre las que recibía informes de estado periódicamente. El informe de 7 de marzo de 2016 informa de que la lista “Socios ATI” tiene un total de 3.118 destinatarios. El informe de 6 de abril de 2016 informa de que la lista “Amigos ATI” tiene un total de 1.463 destinatarios. 8. De los correos aportados por el denunciante y de los obtenidos durante la inspección realizada en la sede de ATI, se observa que entre las direcciones de correo electrónico destinatarias figuran tanto direcciones del dominio ati.es como de otros distintos. Se incluyen a continuación ejemplos de direcciones de correo destinatarias que podrían ser consideradas como dato de carácter personal:  .....@gmail.com  .....@.....edu  .....@.ati.es 9. Los días 8 de marzo y 13 de junio de 2016 se accede al sitio web www.ati.es de ATI en el que se constata que: 9.1. En el pie de la página principal existe un enlace a una “Nota legal” y a la “información sobre las cookies de ATI”. 9.2. Existe un formulario para darse de alta como socio a través del cual se recaban datos de carácter personal de los usuarios, reseñándose en los Hechos Probados números 20) y 21) la información que se da por reproducida en este punto a fin de no resultar reiterativos, la cual fue puesta de manifiesto en el acuerdo de inicio del presente procedimiento sancionador. 9.3. En la “Nota legal” del sitio web se ofrecía información relativa al “Tratamiento de los datos de carácter personal”, cuyo contenido fue incluido en el acuerdo de inicio del presente procedimiento sancionador y aparece transcrito en el Hecho Probado número 22) se da también por reproducido a efectos de no ser reiterativos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/46 9.4. En la página de contacto del sitio web figuran los datos de la sede general, que se encuentra en Barcelona y de las sedes de otros capítulos de ATI en otras ciudades en distintas regiones de España. 10. No se ha localizado en el sitio web ninguna información relativa a la capacidad de seguimiento del servicio MailChimp. 11. En el apartado relativo a “Cookies que usamos” del documento de “Política de de ATI” se informa sobre el uso de cookies de Google Analytics, en los términos que aparecen en el Hecho Probado número 24). Consultados durante la inspección realizada a ATI, sus representantes manifestaron que no les constaba que se hubiese informado u obtenido el consentimiento de los destinatarios de los correos electrónicos en relación con la capacidad de seguimiento del servicio MailChimp. Sobre los correos electrónicos enviados por la ATI 12. El denunciante aporta inicialmente copia en papel del código fuente y cabeceras completas de 14 correos electrónicos remitidos por ATI:  Los recibidos el 26 de junio y el 1 de julio de 2015 por él mismo y otros cuatro socios de ATI (sus correos y los reenvíos realizados por los socios a su cuenta).  Cuatro correos electrónicos recibidos entre el 23 de diciembre de 2015 y el 11 enero de 2016 por el denunciante A solicitud del Subinspector actuante, el denunciante aporta copia digital de un total de 22 correos electrónicos, los 14 descritos en el párrafo precedente, otros 7 recibidos en octubre y noviembre de 2015 y un último recibido el 11 de enero de 2016. 13. En los 14 correos recibidos por el denunciante y en los 2 reenviados por otro de los socios consta que éstos fueron enviados por distintas cuentas de dominios del servicio MailChimp en nombre de ....2@atinet.es. El envío “en nombre de” implica que si bien es el usuario, en este caso ATI, quien decide el contenido y los destinatarios, los envíos se hacen a través de cuentas y servidores del servicio MailChimp gestionados por el prestador del servicio, circunstancia cuya relevancia se explica posteriormente en el apartado del “Sobre la capacidad de seguimiento ofrecida por MailChimp” 14. Durante la inspección realizada el 12 de abril de 2016 se constata que: a. El servicio MailChimp se ha utilizado entre el 14 de junio de 2014 y el 4 de abril de 2016. b. En dicho periodo constan mensajes de confirmación del envío de 108 campañas, que es como se denomina cada uno de los envíos a grupos de destinatarios. c. Constan registros del envío de campañas utilizando la lista de “Socios ATI” los días 11 de enero y 8 y 29 de marzo de 2016, con 3.315, 696 y 696 destinatarios respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/46 Sobre el seguimiento realizado 15. Tal y como explica TRS, para poder ofrecer informes de seguimiento de los envíos que realizan sus clientes, el servicio MailChimp incluye web beacons y altera los enlaces incluidos en los correos. Este es un ejemplo de web beacon incluido en un correo recibido por el denunciante el 8 de enero de 2016: <img src=3D"http://ati.us5.list-manage.com/track/open.php? u=*****1c=*****2 id=*****3 e=*****4> Un ejemplo de uno de los enlaces modificados de ese mismo correo es el que sigue: <a href="http://ati.us5.list-manage1.com/track/click? u=*****1c*****2 id=*****5 e=*****6" title="" class="" target="_blank" style="word-wrap: break-word;-mstext-size-adjust: 100%;-webkit-text-size-adjust: 100%;"> Se han separado los parámetros de la URL en líneas diferentes para hacer más sencilla su identificación. Si bien TRS no da información sobre el uso que da a cada uno de los tres valores, tras tener en cuenta las explicaciones ofrecidas por el denunciante y analizar los correos electrónicos aportados, la conclusión es que el parámetro “u” identifica al usuario remitente, el parámetro “id” identifica el recurso accedido (imagen del web beacon o enlace concreto) y el parámetro “e” identifica al destinatario que realiza la acción (abrir el correo o pulsar el enlace). 16. Se ha constatado el uso de dispositivos de seguimiento de la apertura de correos (web beacons) y de pulsación de enlaces en los 22 correos electrónicos aportados por el denunciante, que fueron recibidos entre el 1 de julio de 2015 y el 11 de enero de 2016. 17. Durante la inspección realizada se solicitó el reenvío de dos correos electrónicos enviados por ATI los días 11 de enero y 29 de marzo de 2016 a la cuenta del Subinspector actuante. Analizados los correos recibidos se observa que si bien estos correos no contienen dispositivos de seguimiento de la apertura de correos (web beacons) ambos contienen dispositivos de seguimiento de pulsación de enlaces. Conforme consta en el documento 5 del acta de inspección E/00817/2016/I-1, el correo electrónico enviado el 11 de enero de 2016 a las 9:27 tenía 3.315 destinatarios y el correo electrónico enviado 29 de marzo de 2016 a las 14:00 tenía 696 destinatarios. 18. Los representantes de ATI consideran que no se han hallado trazas de que la ATI haya hecho uso de las capacidades de seguimiento del servicio MailChimp. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/46 19. En la cuenta de correo utilizada para gestionar los servicios de MailChimp se localizaron 108 correos que, además de informar del lanzamiento de las campañas, disponían de un botón “View report” (Ver informe) que permitía acceder al informe de seguimiento de la campaña. Durante la inspección practicada en las instalaciones de la Asociación en Barcelona el día el 12 de abril de 2016, no se pudo acceder a los informes de las campañas por los motivos que se describen más adelante. Sobre la conducta mostrada por ATI respecto de la labor inspectora 20. La ATI dispone de una sede central y de varios capítulos repartidos por la geografía española. Dado que los socios y los integrantes de la estructura de la ATI son profesionales de la informática que podían tener encargada la gestión del boletín, se remitió el 30 de marzo de 2016 un correo electrónico a la dirección ....2@ati.es que constaba en la página web de ATI. En el correo electrónico se les avisaba de que el 5 de abril se celebraría una inspección a la entidad y el tema objeto de la inspección (el servicio de correo electrónico). En el correo se les solicitaba que identificase la sede en la que se podría celebrar la inspección. 21. El mismo día 30 de marzo de 2016 el abogado de ATI contesta que la inspección se celebrará en la sede central de Barcelona, a la par que solicita un cambio de fecha debido a que no puede asistir el día 5 de abril, causa por la que desde la Inspección de Datos se acuerda realizar la inspección el 12 de abril de 2016. 22. Durante la inspección realizada ese día, los representantes de ATI manifiestan inicialmente que el servicio de correo electrónico que utilizan ya no es Mailchimp y que se cambió por Mailman aproximadamente en octubre de 2015. 23. Durante las comprobaciones realizadas durante la inspección se constata que TRS envía facturas por el servicio MailCMailChimphimp a ATI hasta el 14 de marzo de 2016. 24. Al tratar de acceder al servicio para realizar comprobaciones sobre el seguimiento y los datos de los suscriptores el sistema deniega el acceso, momento en que se comprueba que en los correos recibidos por ATI consta que el servicio se ha suspendido el 4 de abril de 2016. 25. La suspensión del servicio se produce 5 días después de que ATI tenga conocimiento de que por la AEPD se va a realizar una inspección que versa sobre sus servicios de correo electrónico, impidiendo con ello la comprobación de aspectos relevantes para la investigación en su cuenta de usuario de MailChimp. Sobre la transferencia internacional de datos 26. Los representantes de ATI manifiestan que mediante la herramienta dispuesta por Mailchimp al efecto se importaron las direcciones de correo electrónico de los destinatarios de los correos de la ATI y que, aunque el sistema permitía incluir muchos más datos, ese fue el único dato que fue incluido. 27. TRS tiene su sede en los Estados Unidos de América. Esta entidad debido a la Sentencia de 6 de octubre de 2015 del Tribunal de Justicia de la Unión Europea (C362/14), - que invalidó la Decisión de la Comisión 2000/520/CE que establecía el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/46 nivel adecuado de protección de las garantías para las transferencias internaciones de datos a EEUU ofrecidas por el acuerdo de “Puerto Seguro” publicado por su Departamento de Estado-, proporciona un modelo de contrato para el tratamiento de datos en cumplimiento con las cláusulas contractuales estándar que los usuarios ubicados en Europa deberían de firmar. Desde la Inspección de Datos se accede el día 8 de marzo de 2016 al modelo de contrato publicado en la web de TRS, aunque posteriormente se comprueba en el “archive.org”, sitio web que guarda copias estáticas de páginas web con las fechas en las que fueron tomadas, que desde, al menos el 7 de noviembre de 2015, ya existía un modelo de contrato de ese tipo. 28. Los representantes de ATI manifiestan que no recuerdan haber recibido ningún tipo de comunicación del prestador del servicio MailChimp en relación con contratos a firmar debido a la invalidación del acuerdo de “Puerto seguro” y no han acreditado la firma de este nuevo modelo de contrato con TRS. TERCERO: Con fecha 26 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la ASOCIACIÓN DE TÉCNICOS DE INFORMÁTICA (en adelante ATI), por la presunta infracción del artículo 33 de la de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.

1. d)de la citada Ley Orgánica, así como por la presunta infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), LSSI, tipificada como leve en el artículo 38.4
2. g)de la citada Ley. CUARTO: Notificado el acuerdo de inicio, la representación legal de ATI formula escrito de alegaciones en el que, además de solicitar vista y copia del expediente, aduce los argumentos que, en síntesis, se citan a continuación: - C/ Jorge Juan, 6 28001 – Madrid El tratamiento del dato del correo electrónico de los asociados es un dato profesional al que no le resulta de aplicación la normativa de protección de datos. ATI es una asociación profesional de técnicos en informática, cuyo objeto social es la representación de la industria del sector informático, actuando, por ello, a nivel nacional e internacional como representante de los intereses y proyectos de los industriales, profesionales y comerciantes de la informática. La pertenencia a la Asociación no puede interpretarse en ningún momento como actividad privada, siendo la asunción de esa imagen de profesional, industrial o comercial del sector que presta sus servicios a cambio de retribución la causa por la que el denunciante solicitó un correo del dominio @ati.es, que es el que aparece en su cuenta de Linked-in. Subsidiariamente, para ATI, dicho correo es el dato de contacto profesional elegido para identificarse como tal ante la Asociación, afirmando que “El correo forma parte del contacto de la empresa y como empresario”. A la vista de lo cual, se concluye que con arreglo al criterio manifestado por la AEPD en diversos informes jurídicos, cuyas fechas no www.agpd.es sedeagpd.gob.es 9/46 se citan, y resoluciones, cuyos números de procedimiento no se indican, el presunto envío por una Asociación profesional como ATI de una lista de emails de asociados por MailChimp no supone un tratamiento de datos de carácter personal, resultando de aplicación a este supuesto lo dispuesto en el artículo 2.3 del Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid - En cuanto a la línea temporal de la presunta infracción a la LOPD, se señala que hasta el 6 de octubre de 2015 la cesión de dichos emails estaba cubierta por el acuerdo de “Puerto Seguro”, cuya invalidación con esa misma fecha en virtud de Sentencia del TJUE, provocó que la AEPD estableciera un periodo de contacto con las empresas para solventar el problema que afectaba a la legalidad de la práctica totalidad de las transferencias internacionales de datos que se estaban realizando a EEUU, remitiéndose ATI a una comunicación publicada en la web de la Agencia sobre la aplicación de la sentencia de “Puerto Seguro” en la que, según la denunciada, se establecía hasta el 29 de enero de 2016 un periodo de adaptación. El 2 de febrero de 2016 la Unión Europea anuncia el acuerdo de “Privacy Shield”, que viene a sustituir al acuerdo de “Puerto Seguro”, lo que también publicita la propia Agencia, que en nota de prensa de fecha 29 de febrero de 2016 vuelve a pronunciarse sobre adaptaciones progresivas a la nueva regulación y al nuevo Reglamento. En resumen, ATI alega que “aún se está poniendo en marcha el Privacy Shield”, homologándose las empresas y después publicándose.”. A la vista de lo cual, defiende que únicamente las comunicaciones que hayan podido ser enviadas entre el 30 de enero y el 2 de febrero de 2016 resultarían objeto de reproche administrativo, siempre que resultase probado su envío en el procedimiento sancionador. ATI añade que por la teoría de los actos propios de la propia Agencia quedaría desmontada la apertura del expediente sancionador. - Primacía del Derecho Comunitario frente al derecho nacional. Se alega que con la entrada en vigor del Reglamento Europeo de Protección de Datos la normativa nacional ha quedado obsoleta y “Contra legem”. Si bien la AEPD es la autoridad de control competente, porque así lo recoge el Reglamento (UE) del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos), en vigor desde el 28 de mayo de 2016, sin embargo, no lo es en aquellos términos que se oponen frontalmente al mismo, como sería el antiguo www.agpd.es sedeagpd.gob.es 10/46 procedimiento sancionador. El nuevo procedimiento sancionador, dispone unos topes y unos baremos sancionatorios, como por ejemplo los referidos al 2 o 4% del presupuesto. Debe valorarse ambos casos y aplicar el principio “in dubio pro reo”. Sugieren se proceda al reenvío prejudicial al TJUE. C/ Jorge Juan, 6 28001 – Madrid - Las dos imputaciones se establecen bajo la premisa de la posibilidad de poder hacer perfiles por la utilización de un programa, y con ellos dañar la privacidad de terceros, en este caso los miembros asociados o profesionales conexos, no obstante lo cual durante la inspección practicada por la AEPD, en la que se tuvo acceso a todos los servidores e información, no se localizó ningún perfil ni se comprobó que se hubiesen utilizado esas características objeto de reproche. Se afirma que con la sentencia de 6 de octubre de 2015 no han desaparecido las medidas de control validadas por el acuerdo de “Puerto Seguro”, cuya existencia ha comprobado la Inspección de la AEPD, añadiendo que, en el caso del denunciante, todo su perfil como empresario autónomo del mundo de la tecnología se puede encontrar en Facebook y Linkedln. - El Acta de inspección no acreditó que se utilizara indebidamente el correo ni analizó la información enviada por la Asociación, que es pública e idéntica para todos los asociados, dando lugar a que en el acuerdo de inicio se reflejasen las siguientes interpretaciones desviadas: 1) Se da por supuesto que todos los correos son de carácter personal, sin identificar ninguno que lo sea expresamente; 2) Se efectúan por parte del instructor calificaciones que sólo pueden indicar tendenciosidad, tales como “infracción indefendible” en el hecho primero, punto nº 6; 3) De los tres correos que pone como ejemplos de correo destinatario (punto octavo) de carácter personal, el primero es el del gerente de la Asociación que firma el Acta de Inspección así como las alegaciones al acuerdo de inicio, quien certifica que ese no es su correo personal. El segundo es el correo corporativo de un socio (@ati.net) y el único que se dispone. El tercero, es el oficial y profesional del antiguo vicepresidente del Capítulo Gallego y miembro de diversos grupos de trabajo de ATI, constando dicho email en su propia cuenta de linked-In; 4) Respecto del punto 22 matizan que “en momento alguno dijeron los representantes de ATI que en octubre se había cambiado… sino que desde octubre se está en un proceso de cambio debido a la incompatibilidad de las importaciones... y que durante ese proceso de cambio se habían usado los dos sistemas de correo corporativo, al igual que se descartó desde un principio el sistema de google, por efectivamente poco seguro. Pero esa afirmación, que está en el acta, no casaría www.agpd.es sedeagpd.gob.es 11/46 con la tendenciosidad del redactado. “ 5) El El Instructor no reseña que The Rocket Science Group, LLC, en adelante THE ROCKET, propietaria de MailChimp, ya ha completado los requisitos corporativos para entrar en la lista web de “Privacy shied”. QUINTO: Remitida a ATI con fecha 4 de noviembre de 2016 copia de la documentación obrante en el procedimiento a esa misma fecha (folios 1 al 524), con fecha 7 de noviembre de 2016 se inicia periodo de práctica de pruebas, según lo dispuesto en el artículo 17.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección con motivo de las actuaciones previas de Inspección que forman parte del expediente E/00817/2016, las alegaciones al acuerdo de inicio PS/00371/2016 presentadas por ATI. Asimismo, dentro del período de práctica de pruebas, con fecha 8 de noviembre de 2016, se acuerda incorporar al procedimiento a efectos probatorios: Impresión del resultado de la información obtenida el 7 de noviembre de 2016 en Internet en las páginas web: - http://www.agpd.es/portalwebAGPD............1 - https://es.linkedin.com............2 - https://atigalicia.............3 - https://mailchimp.com.....................1 y https://mailchimp.com/legal....., junto con la traducción al castellano de los documentos de “Política de privacidad” y “Términos de uso” alojados en dichas páginas obtenida a través de la opción “Traducir al español” - http://www.ati.es/, que incluye, entre otra información, la referida a “Ser socio de ATI” Impresión del “Formulario de inscripción” de “Nuevo Socio” de la citada Asociación obtenido a través de Internet al acceder con fecha 8 de noviembre de 2016 a la página web https://www.ati.es/haztesocio/haztesocio.php. Asimismo, se acuerda SOLICITAR a ATI contestación a los siguientes extremos: 5.1 Especificación de las medidas concretas adoptadas desde el 6 de octubre de 2015, fecha de la sentencia del Tribunal de Justicia de la Unión Europea invalidando la Decisión 2000/520/CE de Puerto Seguro de la Comisión, hasta la finalización del contrato suscrito por ATI con The Rocket Sciencie Group LLC, compañía con sede en los Estados Unidos de América, para adecuar a lo dispuesto en el artículo 33 de la LOPD las transferencias internacionales de datos de carácter personal realizadas por esa Asociación a fin de hacer efectivo el servicio MailChimp contratado a esa empresa. 5.2 Acreditación de que los afectados por dicho tratamiento, titulares de los correos electrónicos comunicados por dicha Asociación al mencionado prestador de servicios, dieron su consentimiento inequívoco a las transferencias internacionales de datos necesarias para la realización del servicio una vez invalidado el acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/46 “Puerto Seguro”. Se solicita justificación del medio empleado consentimiento inequívoco. para obtener dicho 5.3 Remisión de copia del contrato suscrito por esa Asociación con THE ROCKET a efectos de la prestación por ésta del servicio MailChimp y del contrato de rescisión o terminación. En todo caso se justificará la fecha exacta de finalización del contrato del citado servicio. 5.4 Envío de copia de la “Política de Privacidad” y de los Términos de Uso” del servicio MailChimp en las fechas de su contratación por esa Asociación. 5.5 Detalle de las fechas en que ATI remitió boletines a sus socios y/o amigos utilizando el servicio MailMachimp, con expresión del asunto de los mismos y número de envíos realizados por boletín o campaña. 5.6 Aportación de los formularios web de Alta de Socio utilizados por ATI durante los años 2014, 2015 y 2016, así como de los términos de las condiciones de registro vigentes en dichos años, especificándose las fechas de validez de los documentos aportados. De forma particular, se solicita copia del documento de alta del denunciante como socio, de los términos exactos de su registro y de las modificaciones posteriores que le hayan sido comunicadas. 5.7 Justificación del procedimiento seguido por esa Asociación para facilitar a los miembros individuales de ATI una cuenta de correo electrónico “ATI.es”, con remisión de las condiciones relativas a la prestación de ese servicio que estaban vigentes los años 2014, 2015 y 2016, particularmente antes y después del 6 de octubre de 2015. Se solicita remisión de la petición del denunciante y aceptación por éste de los términos de uso de la cuenta de correo a la que esa entidad se refiere en sus alegaciones al acuerdo de inicio del procedimiento. También con fecha 8 de noviembre de 2016, se informa a ATI que, de conformidad con lo previsto en los artículos 80.3 y 137.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las administraciones Públicas y del Procedimiento Administrativo Común, en adelante LRJ-PAC, y el artículo 17.2 del citado Reglamento del procedimiento para el ejercicio de la potestad sancionadora, se desestima la práctica de las prueba propuesta por esa Asociación, consistente en aportar al procedimiento el discurso de toma de posesión de la actual Directora de la AEPD, por considerar que su práctica resulta innecesaria al tratarse de una información asociada a un acto institucional que no guarda relación directa con los hechos objeto del procedimiento, no resultando, por tanto, relevante para la resolución del mismo y la determinación de posibles responsabilidades. Asimismo, se indica que la documentación aportada en lengua distinta al castellano deberá ir acompañada de su traducción al castellano, ello a los efectos de su constancia en el expediente, y de conformidad con lo previsto en el artículo 36.1 de la LRJ-PAC, norma que resulta de aplicación al presente procedimiento de conformidad con lo dispuesto en la Disposición transitoria tercera de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas que dispone respecto del régimen transitorio de los procedimientos que: “
3. a)A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior.” Con fecha 10 de noviembre de 2016 se acuerda incorporar al procedimiento, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/46 efectos de pruebas, impresión de capturas del contenido del CD aportado por el denunciante en su correo electrónico de fecha 22 de abril de 2016 durante las actuaciones previas de inspección E/00817/2016, así como de los archivos correspondientes a los correos electrónicos remitidos por el denunciante en su escrito de denuncia con la modificación introducida por éste en el enlace incluido en los mismos que permite acceder a un panel de preferencias individualizado, el cual se ha sustituido por el texto “[EDITADO PARA ELIMINAR ENLACE]”. Con fecha 30 de noviembre de 2016 se acuerda incorporar al procedimiento a efectos probatorios impresión de la siguiente documentación: Contenido de las inscripciones de los ficheros titularidad de la Asociación de Técnicos de Informatica que figuran en el Registro General de Protección de Datos a fecha 25 de noviembre de 2016, entre los que se encuentra el denominado “Asociados”; Registro de la compañía estadounidense THE ROCKET en la lista del mecanismo “Escudo de Privacidad“, al que se ha accedido a través del enlace https://www.privacyshield.gov/participant? id=a2zt0000000TO6hAAG con fecha 25 de noviembre de 2016; Impresión de la información ofrecida es “Acerca de MailChimp y UE Safe Harbor” en la página web http:kb.mailchimp.com/ en las actualizaciones de fechas 11/12/2015 y 07/09/2016. SEXTO: Con fecha 28 de noviembre de 2016 se registra de entrada escrito de ATI solicitando ampliación de plazo para aportar la documentación cuya presentación ha sido requerida en fase probatoria, acordándose, con fecha 30 de noviembre de 2016, conceder a dicha Asociación un nuevo plazo de cinco días hábiles, contados desde el siguiente a la recepción de dicho acuerdo, a los efectos solicitados. SÉPTIMO: Con fecha 20 de diciembre de 2016 se registra de entrada escrito de ATI señalando: Respecto del punto 5.1: Desde octubre de 2015 se fueron sustituyendo progresivamente los envíos “por MailChimp” por envíos internos, aportando a efectos probatorios: factura de MailChimp de fecha 14/12/2015, impresión de los cargos de VISA de las facturas de enero a marzo de 2015 que muestran que los importes del servicio fueron decreciendo, no habiendo pagos a partir de marzo. Respecto del punto 5.2: La empresa The Rocket Science Gropup LLC ha sido inscrita entre las empresas americanas que cumplen el Privacy Shield, pasando a estar reconocida por la Unión Europea como empresa con suficiente nivel de protección en materia de datos de carácter personal. Añade que: “La aparición en dicho registro, inhabilita el ser cesión internacional de datos de carácter personal, al cumplir el acuerdo Privacy Shield y ser reconocida esta especificidad por la Unión Europea, y por tanto por el Gobierno de España. Ni había, ni hay, cesión internacional de datos, ya que los dos convenios internacionales se han sucedido en el tiempo con una moratoria establecida por la propia Agencia, solo con un “decalaje” de dos días entre el plazo de gracia otorgado por la Agencia y el nuevo Tratado de “Privacy Shield”, decalaje en el que se ha realizado ningún envío.” Reiteran que no se está ante datos de carácter personal, sino profesional, más en el caso del denunciante que desde febrero de 2011 hasta febrero de 2015 fue Vocal 5º de la Junta Directiva de la Asociación, y recibió el encargo público de revitalizar la Asociación en Galicia, según consta en el Acta de la Junta de 25/02/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/46 Respecto del punto 5.3, presentan, en inglés, impresión de pantalla de los términos y condiciones que se obtienen vía Internet de MailChimp. No consta fecha de obtención. Respecto del punto 5.4 señalan que los términos de la política de privacidad publicados en https://mailchimp.com.....................1/ eran válidos cuando existía el “puerto seguro” y ahora con el “escudo de privacidad”. Respecto del punto 5.5, adjuntan relación de envíos junto con el nº de emails desde junio de 2014 hasta el último en enero de 2016. El resto figuran en el procedimiento. Respecto al punto 5.6: Hasta el 2007 no hubo propiamente un formulario web de alta de socio, existiendo unos libros hechos a mano de socios, dándose de alta como tales. Se aporta el formulario que estuvo en vigor en 2003, el que entró en vigor en 2003 y fue sustituido por el formulario en línea que se compaginó con el formulario web hasta 2014. La única obligación legal era tener sus datos registrados en el libro físico de socios. Presentan libro foliado y sellado por la Generalitat de Catalunya, en cuya página 33 constan los datos del alta del denunciante en la Asociación el año 1996. A mediados de 2007 se puso en marcha un programa de gestión de socios, aportándose impresión de los datos del denunciante. Presentan el documento de alta vía web de socio utilizado a finales de 2013 y principios de 2014, que pasó al formulario actual que también se aporta. Respecto al punto 5.7, el socio de ATI puede solicitar una cuenta de correo electrónico corporativa a la Secretaria de los dominios ati.es o atinet.es, con diferente capacidad del buzón. Acompañan carta de ofrecimiento de prestación de servicios, sin fechar, que reciben los que se dan de alta como socios de ATI, respuesta modelo a la petición de cuenta de correo a fecha 15/12/2016 y modelo texto e-mail que se envía a los socios cuando solicitan la baja como asociado a fecha 15/12/2016. OCTAVO: Con fecha 6 de febrero de 2017 se incorpora al procedimiento la siguiente documentación: Impresión de copia de la Diligencia impresa en el Libro de Registro de Socios de ATI por la Dirección General de Derecho y Entidades Jurídicas, del Departamento de Justicia, de la Generalidad de Cataluña, con fecha 22 de diciembre de 1998, a instancias de la Asociación de Técnicos de Informatica, así como de la hoja número 33 de dicho Libro, donde aparecen los datos de alta del denunciante como socio de la Asociación; Impresión de la página principal y de los documentos “Aviso Legal” y “Política de Cookies” obtenidos, con fecha de hoy, vía Internet en la página web http://www.ati.es; Traducción del inglés al español de una serie de documentos obrantes en el procedimiento. Con fecha 14 de febrero de 2017 se incorporan al procedimiento tres “Notas de Prensa” , de fechas 6 y 19 de octubre de 2015 y 3 de febrero de 29 de junio de 2016, relativas las dos primeras a la Sentencia del Tribunal de Justicia de la Unión Europea invalidando la Decisión de la Comisión relativa al “Puerto Seguro”, refiriéndose la tercera un anuncio de la Comisión Europea y EEUU de un acuerdo para la realización de transferencias internacionales de datos y la cuarta al discurso de inauguración por el Ministro de Justicia en funciones de la 8ª Sesión Anual Abierta de la AEPD. Asimismo, se incorpora una comunicación aparecida el 9 de diciembre de 2015 en el Canal del responsable de ficheros, Transferencias Internacionales, referida a la aplicación de la Sentencia de Puerto Seguro, todas ellas publicadas en el portal web de la AEPD https://www.agpd.es/. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/46 NOVENO: Con fecha 17 de febrero de 2017 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se acordase imponer a la ASOCIACIÓN DE TÉCNICOS DE INFORMÁTICA (ATI) las siguientes sanciones: - Multa de 45.000 € (Cuarenta y cinco mil euros) por la infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4.
4. d)de dicha norma, de conformidad con lo establecido en los apartados 2 al 5 del artículo 45 de la citada Ley. - Multa de 5.000 € (Cinco mil euros) por la infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
5. g)de dicha norma, de conformidad con lo establecido en los artículos 39.1.c y 40 de la citada Ley. La citada propuesta de resolución consta como notificada a ATI con fecha 21 de febrero de 2017. DÉCIMO: Con fecha 10 de marzo de 2017 se registra de entrada escrito de la representación de ATI manifestando su disconformidad frente a la propuesta de resolución recibida, que, a su juicio, adolece de ecuanimidad, con sustento, en síntesis, en los siguientes argumentos: - Se obvia la aplicación del Reglamento Europeo de Protección de Datos, a pesar de lo dispuesto en el artículo 128.2 de la LRJPAC sobre el efecto retroactivo de las disposiciones sancionadoras. Atendido que el REPD está en vigor, aunque no se aplique, no pueden dictarse resoluciones sancionadoras sin atender la prevalencia del Derecho Comunitario frente al nacional. En consecuencia, la norma nacional no puede interpretarse autónomamente, sino de conformidad con la norma Europea. Se cita la STC 232/2015, de 5 de noviembre. - El citado REPD protege clara y específicamente a las Asociaciones profesionales sin ánimo de lucro como ATI, lo que apoya invocando el Considerando 51 de dicha norma. - Se reitera que “no existe prueba alguna de que ni TRS haya usado esos datos para efectuar ninguna actividad, ni que en momento alguno ATI haya utilizado las herramientas de control que permitía el programa MailChimp.”. - En la propuesta se realizan una serie de valoraciones desproporcionadas y no probadas como “negarse a colaborar”, “actuación reticente” o engaño que “sólo reflejan la firme defensa de los derechos de ATI”. Además, dicho acto contiene afirmaciones que agravan intencionadamente los hechos, ya que no discrimina entre los datos profesionales vinculados a la naturaleza profesional de la Asociación, como serían el nombre y el correo electrónico utilizados en los mailings, de otros datos que responden al concepto de datos de carácter personal. Nunca se han realizado transferencias internacionales de datos personales, sino de datos de carácter profesional para asuntos asociativos. Se invocan los artículos 1.3 y 9.
6. d)y
7. e)del REPD. Se reitera que la AEPD, y su Directora, mediante C/ Jorge Juan, 6 28001 – Madrid cartas a las empresas, www.agpd.es sedeagpd.gob.es 16/46 discursos y comunicaciones publicadas en la página web de la AEPD, dieron un periodo de transitoriedad hasta el 21 de enero de 2016 y que el 2 de febrero de 2016 la Unión Europea anunció el “Escudo de Privacidad”, donde van apareciendo gradualmente las diversas empresas a las que se reconoce su cumplimiento, entre otras, TSR en noviembre de 2016. Según ATI, la redacción de la propuesta de resolución abre responsabilidades que se corresponden al mal funcionamiento de las instituciones comunitarias, señalando que se infringen una serie de artículos de la Carta de Derechos Fundamentales de los Ciudadanos de la UE. HECHOS PROBADOS PRIMERO: Con fecha 20 de enero de 2016 Don A.A.A. , en adelante el denunciante, presentó escrito poniendo de manifiesto las transferencias internacionales de los correos electrónicos de los socios y amigos de ATI que dicha Asociación viene realizando a la empresa estadounidense The Rocket Sciencia Group, LLC, en adelante TRS, sin mediar el consentimiento de los destinatarios de las comunicaciones electrónicas remitidas por ATI a través del servicio MailChimp de gestión de envíos de correos electrónicos de la citada empresa, y para cuya prestación TRS utiliza dispositivos de almacenamiento y recuperación de datos (DARD) que instala en los correos electrónicos a fin de seguir la actividad de los destinatarios de los envíos. SEGUNDO: El denunciante aportó copia en papel un total de 15 correos electrónicos, (todos ellos con cabecera completa y código fuente), enviados entre el 26 de junio de 2015 y el 11 de enero de 2016 desde distintas cuentas de dominios del servicio MailChimp en nombre de ....2@atinet.es a su dirección de correo electrónico y a las de otros cuatro socios de ATI a fin de probar que TRS asigna un identificador único a cada una de las direcciones de correo electrónico de los destinatarios de los mensajes de ATI. (folios 48 al 306 bis) TERCERO: La dirección .....@ati.es del denunciante tiene asignado el identificador *****6 en los envíos de fechas 26/06/2015 (folios 48 al 64), 01/07/2015 (folios 134 al 156), 23/12/2015 (folios 254 al 266), 08/01/2016 (folios 267 al 280), 11/01/2016 (folios 281 al 293) y 11/01/2016 (folios 294 al 306 bis), La dirección .....4@gmail.com tiene asignado el identificador ***NÚM.1 en los envíos de fechas 26/06/2015 (folios 65 al 75), 01/07/2015 (folios 157 al 171) La dirección .....@gmail.com tiene asignado el identificador ***NÚM.2 en los envíos de fechas 26/06/2015 (folios 76 al 109), 01/07/2015 (folios 172 al 222) La dirección .....5@gmail.com tiene asignado el identificador ***NÚM.3 en los envíos de fechas 26/06/2015 (folios 110 al 120), 01/07/2015 (folios 223 al 237) La dirección .....@.ati.es tiene asignado el identificador ***NÚM.4 en los envíos de fechas 26/06/2015 (folios 121 al 133), 01/07/2015 (folios 238 al 253), 01/07/2015 (folios 238 al 253) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/46 Posteriormente, el denunciante aportó copia digital de otros siete correos electrónicos remitidos desde la dirección ....2@atinet.es a su cuenta de correo electrónico .....@ati.es con fechas 09/10/2015, 13/10/2015, 22/10/2015, 02/11/2015, 13/11/2015, 18/11/2015, 23/11/2015 y 11/01/2016 (folios 432, 433, 689 al 694, 714 al 716, 723 al 731 , 735 al 737 ) CUARTO: En la página 33 del Libro de Registro de Socios de ATI foliado y sellado por la Generalitat de Catalunya constan registrados los siguientes datos del denunciante: Núm. Socio: ***SOCIO.1; Fecha de alta: DD-MM-AA, Nombre: A.A.A., Dirección: (C/...1), Población: SEVILLA, Provincia: SEVILLA DP ***CP.1. No figura el dato correspondiente al correo electrónico (folio 883 y 884 ) QUINTO: En los ficheros de ATI figuran registrados los siguientes datos del denunciante: Nº socio: ***SOCIO.1; Fecha de alta: DD/MM/AA, Fecha Nacimiento: DD1/MM1/AA1; DNI: ***DNI.1; Nombre: A.A.A.; Dirección: (C/...2) (PONTEVEDRA), Móvil: ***TEL.1; e-mail ati: .....@ati.es; Datos bancarios: ***CCC.1 (folios 512, 864 ) SEXTO: Con fecha 17 de octubre de 2008 ATI inscribió en el Registro General de Protección de Datos, en adelante RGPD, el fichero denominado “Asociados”, declarando como finalidad del mismo: “Gestión de los Asociados: facturación, prestación de los servicios de formación, asesoramiento profesional, envío de publicaciones, asesoramiento laboral, envío de ofertas y promociones relacionados con el sector de la informatica”. Posteriormente, cuando ATI contrató el servicio MailMachimp no notificó al RGPD la modificación del fichero de “Asociados” derivada de la realización de transferencias internacionales con datos personales (correos electrónicos) obrantes en el mismo. (folios 454 al 456 ) SÉPTIMO: La empresa estadounidense The Rocket Sciencie Group LLC presta a través del sitio web www.mailchimp.com de su titularidad el servicio MailChimp que permite crear, enviar y gestionar newsletters por correo electrónico a destinatarios individuales. (folio 354) OCTAVO: Con fecha 8 de marzo de 2016 se verifica que en la Condición nº 19 recogida en el documento de “Condiciones legales de uso” de la página web http://mailchimp.com se indica: (folios 354 al 363) “19. Conformidad con las leyes Declaras y garantizas que vas a utilizar MailChimp conforme a todas las leyes y normativa aplicables. Tú eres el responsable de determinar si nuestros servicios son adecuados para que los uses a la luz de cualquier normativa como HIPAA, GLB, las leyes de privacidad de datos de la UE u otra legislación. Si estás sujeto a normativas (como HIPAA) y usas nuestro servicio, no seremos responsables si el servicio no cumple tales requisitos. Si estás ubicado en el Espacio Económico Europeo (EEA) o envías a alguien ubicado en el EEA, declaras y garantizas que, al crear la lista de distribución de correo electrónico, enviar correos electrónicos a través de MailChimp y recopilar información como resultado del envío de correos electrónicos: 1. Describirás claramente por escrito de qué modo tienes previsto usar cualquier dato recopilado, inclusive para tu uso de MailChimp. Obtendrás el consentimiento expreso para la transferencia de datos a MailChimp como parte de este proceso y asimismo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/46 cumplirás con cualquier política de privacidad que hayas publicado. 2. Has cumplido, y cumplirás, con todas las normativas, así como todas las leyes de protección de datos, comunicación electrónica y privacidad que se apliquen a los países a los que envías cualquier forma de correo electrónico a través de MailChimp. 3. Has recopilado, has almacenado, has usado y has transferido todos los datos relativos a cualquier persona física de conformidad con todas las leyes y reglamentos de protección de datos. Cuentas con todos los permisos necesarios para permitir a MailChimp que reciba y procese datos y envíe comunicaciones a dicha persona en tu nombre. 4. Acuerdas indemnizarnos y eximirnos de toda responsabilidad por pérdidas. NOVENO: Con fecha 8 de marzo de 2016 se verifica que los apartados 5.5, 7. 14, 15 de la “Política de Privacidad” insertada en la página web http://mailchimp.com se indica: (folios 364 al 372) “5. Información que recopilamos(…) 5. Píxeles invisibles: cuando enviemos correos electrónicos a los miembros, es posible que hagamos un seguimiento de su comportamiento, como quién ha abierto los correos y quién ha hecho clic en los enlaces. Lo hacemos para medir el rendimiento de las campañas de correo electrónico y mejorar las funciones para segmentos de miembros específicos. Para ello, incluimos gifs de un solo píxel, también llamados píxeles invisibles, en los correos electrónicos que enviamos. Los píxeles invisibles nos permiten recopilar información acerca del momento en el que abres el correo, la dirección IP, el navegador o el tipo de cliente de correo electrónico y otros detalles similares. También incluimos píxeles invisibles en los correos electrónicos que te entregamos. Usamos los datos de esos píxeles invisibles para crear los informes sobre el rendimiento de tu campaña de correo electrónico y las acciones que tus suscriptores han llevado cabo. También tenemos disponibles los informes cuando te enviamos correo electrónico, por lo que podemos recopilar y revisar esa información.” “7. Datos recopilados para y por nuestros usuarios Durante tu utilización de los Servicios, puede que importes a nuestro sistema información personal que has recabado de tus suscriptores. No tenemos relación directa con tus suscriptores, por lo que tú eres responsable de asegurarte de que cuentas con el permiso adecuado para que podamos recabar y procesar la información de tales personas. Podremos transferir información personal a empresas que nos ayudan a prestar nuestros servicios («proveedores de servicios»). Todos los proveedores de servicios suscriben un contrato con nosotros que protege los datos personales y restringe el uso por su parte de cualquier dato personal en línea con la presente política. (…)” “14. Operamos en los Estados Unidos Nuestros servidores y oficinas están situados en los Estados Unidos, por lo que tu información podrá transferirse, almacenarse o procesarse en los Estados Unidos. Aunque las leyes de protección de datos, de privacidad y de otro tipo de los Estados Unidos pueden no ser tan exhaustivas como las de tu país, tomamos muchas medidas para proteger tu privacidad, entre ellas ofrecer un acuerdo de tratamiento de datos. Al utilizar nuestros sitios web, entiendes y consientes que tu información se recopila, se almacena, se trata y se transfiere a nuestras instalaciones en los Estados Unidos y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/46 aquellos terceros con los que la compartimos, tal como se describe en la presente política. 15. Transferencias de datos desde la UE a los Estados Unidos MailChimp ha certificado previamente nuestro cumplimiento del Marco de Puerto Seguro UE-EE. UU. y EE. UU.-Suiza. A la luz de una reciente sentencia del Tribunal de Justicia de la Unión Europea, ya no dependemos del Marco de Puerto Seguro para justificar la transferencia de los datos personales de residentes europeos y suizos a los Estados Unidos. En vez de ello, los miembros situados en la UE o Suiza deben solicitar nuestro acuerdo de tratamiento de datos actualizado que incorpora las cláusulas contractuales tipo.” DÉCIMO: Con fechas 8 de marzo y 15 de junio de 2016 se verifica que en la página web http://kb.mailchimp.com.....................2 y en la Guía “Understandong reports” se ofrece información sobre el seguimiento de la actividad de los destinatarios de los envíos proporcionada por el servicio, su configuración y los informes elaborados. (folios 373 al 381 bis, 382 al 400, 445 al 451) Respecto del seguimiento de clicks se indica que “permite ver qué suscriptores hicieron clic en los enlaces de tu campaña. Cuando el seguimiento de clicks está habilitado para una campaña, se añade la información de seguimiento de MailChimp a cada URL de manera que cuando se hace click en un enlace en la campaña, esta información de seguimiento redirecciona al suscriptor a través de los servidores de MailChimp antes de enviarlos a la dirección web deseada. Ese redireccionamiento a través de nuestro servidor se registrará como un clic en tu informe de campaña. .El seguimiento de clics está habilitado para todas las campañas de MailChimp de forma predeterminada y, como con el seguimiento de visitas puede ser una buena herramienta para medir participación del suscriptor.” Respecto del seguimiento de aperturas se informa que “permite ver si tus suscriptores han abierto las campañas que enviaste. Tu reporte de campaña mostrará que suscriptores abrieron la campaña, y cuantas aperturas totales recibió la campaña.” En cuanto a su funcionamiento se señala que: “Cuando envías campañas a través de MailChimp, nosotros incorporamos un pequeño gráfico invisible en la parte inferior de tu correo electrónico HTML. Este gráfico de seguimiento de aperturas, o baliza web, es único para cada campaña que envíes. Cuando alguien abre tu correo electrónico y ve las imágenes que incluye, ese gráfico se descarga desde nuestro servidor y se registra como una apertura en tu reporte de campaña (…) El tráfico de las balizas web es el estándar del sector para el seguimiento de aperturas y es una gran herramienta para darte una visión general de la participación de tus suscriptores.” Existe un control de configuración que permite activar o desactivar las cuatro opciones de seguimiento:  Seguimiento de las aperturas de los correos en formato HTML.  Seguimiento de los clicks en los enlaces de los correos en formato HTML.  Seguimiento de las aperturas y los clicks en los correos en formato de texto plano.  Seguimiento de los clicks desde el correo hasta la compra de productos en el sitio web del cliente (necesita que éste sea cliente de Google Analytics). El seguimiento de aperturas está activado por defecto, excepto en las campañas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/46 texto simple. El seguimiento de clics es obligatorio en todas las cuentas gratuitas y en las cuentas de pago nuevas. Se puede activar y desactivar el seguimiento de clics en las cuentas de pago después de haber enviado unas cuantas campañas sin ningún problema de cumplimiento. Los informes permiten, entre otras cosas, ver la actividad del suscriptor en cada una de las campañas que tenga las opciones de seguimiento activado. DECIMOPRIMERO: ATI utilizó el servicio MailChimp de TRS entre el 14 de junio de 2014 y el 4 de abril de 2016, localizándose en su cuenta de usuario de MailChimp: - 108 correos electrónicos correspondientes al envío del mismo número de campañas. En los correos de MailChimp referentes a los envíos efectuados con fechas 08/03/2016, 29/03/2016 y 11/01/2016 se comprueba que disponían del botón “View report” que permitía acceder al informe de seguimiento de las campañas enviadas desde la plataforma de MailChimp por cuenta de ATI. (folios 336 al 340, 343 ) - Varios correos electrónicos de facturación remitidos por MailChimp a ATI, siendo el primero de fecha 14 de junio de 2014 y el último de fecha 14 de marzo de 2016, respectivamente, constando acreditado que el 14/03/2016 ATI abonó a Mailchimp 45,07 euros por sus servicios . (folios 308, 309, 328, 329, 330, 331, 334, 335 y 803) -Correo electrónico de fecha 4 de abril de 2016 de MailChimp a ATI comunicando a ésta la suspensión del servicio. (folios 310, 344) DECIMOSEGUNDO.: ATI realizó a partir del 6 de octubre de 2015 un total de once transferencias internacionales de datos a los Estados Unidos de América, país que no proporcionaba un nivel de protección adecuado, con motivo de las campañas de fechas 20, 21, 22 de octubre de 2015 y 2