← España

PS-00400-2021

1/17  Expediente Nº: PS/00400/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ECOZONO Y CULTURA, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente Nº: PS/00400/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y con base en los siguientes HECHOS PRIMERO: Con fecha 15/05/2021 tiene entrada en la Agencia Española de Protección de Datos (AEPD), remitida por la Autoridad Catalana de Protección de Datos, la reclamación formulada por A.A.A., con NIF ***NIF.1 (en lo sucesivo la parte reclamante). La reclamación se dirige contra ECOZONO Y CULTURA, S.L., con NIF B67508762 (en adelante, la parte reclamada o ECOZONO). La reclamación versa sobre la recogida de datos personales que la parte reclamada lleva a cabo a través de supuestas encuestas y sobre la información que ofrece a los interesados acerca del tratamiento de sus datos. La reclamante ha manifestado que ECOZONO, a través de terceros que actúan como encuestadores y con quienes le vincula un contrato mercantil, recoge datos de personas que acceden a contestar una encuesta cuando el verdadero propósito de la recogida de sus datos es contactar con ellas posteriormente para venderles sus productos. Añade que también les solicitan datos de terceras personas con la promesa de obtener un premio a cambio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Se aportan con el escrito de reclamación dos fotografías (documentos 1 y 2) de un formulario que lleva impreso el siguiente texto: -En el extremo izquierdo del encabezado del documento los anagramas de “SANNA” y “nova cultura” y debajo estas preguntas: “1. ¿Se considera usted una persona respetuosa con el medio ambiente? 2. ¿Qué porcentaje de los productos de su hogar son ecológicos? 3. ¿Ha escuchado hablar del O3? 4. ¿Desea recibir comunicaciones por vía telefónica?” -En el extremo derecho del encabezado del documento unos recuadros precedidos de las indicaciones “Fecha”; “Dealer” y “Zona” que están cumplimentados en cada uno de los documentos, 1 y 2, con distinta información. - Inmediatamente debajo del texto mencionado y a lo largo de todo el encabezado, esta leyenda: “Responsable ECOZONO Y CULTURA, S.L.U. / Finalidad principal gestionar la relación comercial y el envío de información y prospección comercial / Legitimación. Consentimiento del interesado/ Destinatarios: No se cederán datos a terceros, salvo autorización expresa u obligación legal /Derechos: Acceder, rectificar y suprimir los datos, portabilidad de los datos, limitación u oposición a su tratamiento. Transparencia y derecho a no ser objeto de decisiones automatizadas / En cumplimiento de la L 3/2018/ Información adicional: Para más información adicional y detallada sobre nuestra política de privacidad, envíe correo electrónico a ***EMAIL.1” (El subrayado es nuestro) -El documento tiene ocho columnas. Las tres primeras con la rúbrica “Nombre, “Población” y “Teléfono”. Después cuatro columnas precedidas por los números 1,2,3 y 4 (son cuatro las preguntas del cuestionario) y dos columnas más denominadas “Comentarios” y “Firma”. El documento está estructurado en líneas, dedicando una línea a recoger los datos de cada una de las personas encuestadas. Documento 1: En los recuadros del encabezado derecho - “Fecha”, “Dealer” y “Zona”- aparece escrito “20/04/21”; “A.A.A.”; y “***POBLACIÓN.1”. Se recogen datos relativos a ocho personas, por lo que están cumplimentadas solo las primeras ocho líneas del cuestionario. En la columna “Nombre” figuran los nombres de las ocho personas (sin apellidos); en la columna “Población”, en todas las líneas, “***POBLACIÓN.1”; en la columna “teléfono” un numero de móvil por cada persona. Las columnas con los números 1 y 4 indican en las ocho líneas “Sí”. La columna con el número 2 lleva escrito, según la línea, las indicaciones “Q” o “Q/E”. La columna con el número 3 tiene, según las líneas del cuestionario, las indicaciones “G”, “B”, “Osm” y “Cnt”. En la columna “Comentarios” se recogen, entre otros, los siguientes: “Brita”; “Filtre d `crixeta” y “Parella amb bebe”; “Pareja”; “Bebé entonces – químicos”, Brita +botella para bebé”; “4 en casa + perro”. En la columna “Firma” no hay ninguna firma, sino que constan únicamente, a excepción de la primera línea que no puede leerse, datos numéricos que podrían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 corresponder a la edad de las personas sobre las que versa la información, respectivamente, desde la segunda línea, “35-40, 73; 30; 40; 38; 45, 55 + padres”. Documento 2: En los recuadros del encabezado derecho - “Fecha”, “Dealer” y “Zona”- se ha escrito, respectivamente, “22/04/21”; “A.A.A.”; y “***POBLACIÓN.1”. Se recogen datos relativos a once personas, por lo que están cumplimentadas únicamente las once primeras líneas del cuestionario. En la columna “Nombre” están escritos los nombres de once personas (sin apellidos); en la columna “Población”, en todas las líneas, “***POBLACIÓN.1”; en la columna “teléfono” figura un numero de móvil por cada línea. Las columnas con los números 1 y 4 indican en las once líneas “Sí”. La columna con el número 2 tiene en todas las líneas la indicación “Q”. La columna con el número 3 tiene, según la líneas, las indicaciones “G”, “F”, “B”, y “G/B”. En la columna “Comentarios” se recogen, entre otros, los siguientes: “Hombre bebé 2 semanas; Mujer mayor, físicamente se cuida poco; Filtro osmosis; Osmosis; pareja; pareja; Pareja +bebé; No osmosis; Jarra filtra agua +bebé; Bebé; Filtre d´osmosis”. En la columna “Firma” no aparece ninguna firma, sino que se recogen únicamente datos numéricos que podrían corresponder a la edad de las personas sobre las que versa la información, respectivamente, “41, 50; 38;35; 33; 32; 40; 52; 39; 38;40”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 07/06/2021 se dio traslado de la reclamación a ECOZONO para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación se practicó por medios electrónicos, por ser preceptivo conforme al artículo 14.2.

  1. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). No fue recogida por el destinatario dentro del plazo de puesta a disposición, por lo que se produjo el rechazo en fecha 18/06/2021, conforme a lo prevenido en el artículo 43.2 de la LPACAP, tal y como consta en el expediente. Aunque la notificación practicada por medios electrónicos fue válida, dándose por efectuado el trámite de acuerdo con lo previsto en el artículo 41.5 de la LPACAP, a título informativo se envió a ECOZONO, a través de correo postal, una copia de la reclamación y de la solicitud informativa que fue recibida por ella el 02/07/2021. Con fecha 23/07/2021 se recibe en la AEPD un escrito de ECOZONO en el que pide que la Agencia le facilite la identidad del reclamante -condición que considera imprescindible para poder responder a la información que le fue solicitada- y que se suspenda el plazo de un mes que se le otorgó para evacuar el trámite hasta tanto la AEPD no le comunique la identidad del reclamante. En fecha 02/08/2021 se recibe en la AEPD la respuesta de ECOZONO a la solicitud informativa, en la que responde a las siguientes cuestiones planteadas en el escrito de petición informativa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 “1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante.” -Respecto al punto 1, ECOZONO dice que “ha decidido que a partir de ahora y con carácter inmediato, se implemente un nuevo procedimiento de calidad [...] Adjunta la “nueva edición del procedimiento”, documento denominado ““PROTOCOLO INTERNO DE TRATAMIENTO DE DATOS” perteneciente al Manual de Procedimientos de Ecozono y Cultura, S.L.” -Respecto al punto 2 dice: “les hemos solicitado una aclaración, en días anteriores, para conocer con exactitud dónde se ha producido la disfunción dentro del organigrama de nuestra compañía. -Respecto al punto 3 dice que “se ha procedido a realizar un análisis interno para desvelar los motivos de la no aplicación del protocolo existente hasta la fecha. A falta de conocer su respuesta al punto anterior y, junto con las acciones llevadas a cabo, se editará el consiguiente informe.” -En relación con el punto 4 dice que ECOZONO “procederá en consecuencia una vez disponga de toda la documentación. Si bien y no obstante la compañía ya ha adoptado entre alguna de las medidas, la reedición del protocolo de calidad anteriormente citado, y el nuevo registro de consentimiento referencia “XXXX CONSENTIMIENTO INTERESADOS ECOZONO Y CULTURA, S.L.,”” -En relación con el punto 5 dice adjuntar “los registros pertenecientes a las medidas de acción inmediata llevada a cabo al conocer las disfunciones, tal y como se ha mencionado.” Aporta los siguientes documentos: 1. El documento denominado “XXXX ECOZONO Y CULTURA, S.L.,” que lleva por rúbrica “Consentimiento de los derechos de los interesados. Ley Orgánica 3/2018 de PD y GDD 3/2018”. << Usted (mayor de edad o su representante legal) --------------------------------------nos facilita todo tipo de documentación relacionada con su solicitud con las finalidades derivadas de nuestra relación. En virtud de la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales 3/2018 [...] destinamos la información que nos facilita, a tratarla con la finalidad de prestarle el servicio solicitado y requerido con el objetivo de corresponder a su solicitud y gestiones vinculadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Los datos proporcionados por ustedes se conservarán en un fichero, archivo propiedad de ECOZONO Y CULTURA, S.L., durante nuestra relación comercial o tiempo necesario de conformidad con las obligaciones legislativas. Los datos serán cedidos a terceros en casos de necesidad por nuestra parte con el fin de atender su solicitud además de cuando exista una obligación legal. A la vez Usted/es puede ejercer los derechos de acceso, rectificación, supresión/olvido, oposición, portabilidad y limitación según establece la Ley Orgánica de PD y GDD 3/2018. Asimismo, solicito su autorización para ofrecerles productos y servicios relacionados con los anteriormente requeridos, fidelizarle como cliente y para ejercer la coordinación con otros profesionales si es necesario. --- Sí, acepto y autorizo de forma explícita e inequívoca la política de privacidad de [ECOZONO] --- Sí, autorizo de forma explícita e inequívoca recibir información de todo tipo de productos y servicios de [ECOZONO] Y ahora, habiéndole ya informado de nuestra política de protección de datos, procedemos a la encuesta y registro de la información que nos facilite: 1. Me puede facilitar su nombre? 2. Población y número de teléfono de contacto: 3. ¿Se considera usted una persona respetuosa con el medio ambiente? Sí- No4. ¿Qué porcentaje de productos de limpieza de su hogar son ecológicos? 5. ¿Ha escuchado hablar de O3? 6. ¿Desea recibir comunicaciones por vía telefónica? Sí-NoFirma: En ---------------------- a ---de -----------------del 20--*Servicio postventa>> 2. El denominado “Manual de procedimientos. Protocolo interno para tratamiento de datos”. De este documento cabe destacar los epígrafes 2 y 4 que, dicen, respectivamente: “Alcance”. “El presente procedimiento se aplica a todos los componentes que forman parte o bien están vinculados a la empresa ECOZONO Y CULTURA, S.L. Como vinculados deben entenderse, evidentemente, cualquier requisito de coordinación preventiva, referente a personal que interactúa simultáneamente, con el fin de llevar a cabo los servicios contratados.” “Responsabilidades”. “En el presente caso la empresa ECOZONO Y CULTURA, S.L., asumirá la figura de responsable y a la vez encargado de Tratamiento de todos los componentes y vinculados a ella.”. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, con fecha 04/08/2021 se acuerda admitir a trámite la reclamación presentada por la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 La notificación a la reclamante del acuerdo de admisión a trámite, de conformidad con lo dispuesto en el artículo 44 de la LPACAP, se hizo a través de medios electrónicos. Obra en el expediente la “Certificación de imposibilidad de entrega” emitida por la Sociedad Estatal Correos y Telégrafos, S.A. (Correos) que deja constancia de la devolución a origen con fecha 18/08/2021, por dirección incorrecta, de la carta en la que se le daba traslado del mencionado acuerdo. La notificación por edictos se efectuó mediante anuncio publicado en el Suplemento de notificaciones del Boletín Oficial del Estado (BOE) de 27/08/2021, cuya copia obra en el expediente. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
  2. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 4.2 del RGPD, “Definiciones”, establece: “A efectos del presente Reglamento se entenderá por: [...] 2. «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” III 1.La documentación que obra en el expediente evidencia que la parte reclamada, a través de un distribuidor (“Dealer”) que actuó en su nombre -identificado como A.A.A.recogió el 20/04/2021 y el 22/04/2021 datos personales concernientes a diecinueve personas que fueron incorporados a dos formularios en los que consta que ella, ECOZONO, es la responsable del tratamiento y que la legitimación del tratamiento realizado es el consentimiento de los interesados (“Legitimación: Consentimiento”) En los dos formularios cumplimentados por la distribuidora A.A.A. -cuyas características se detallan en el Hecho primero de este acuerdo de inicio- se registraron los datos de diecinueve personas, ocho en el formulario de fecha 20/04/2021 y once en el de fecha 22/04/2021. Respecto a cada uno de los interesados los datos recogidos fueron el nombre de pila, el número de teléfono móvil, alguna característica personal (a excepción de quien fue registrado en la primera línea del formulario de fecha 20/04/2022) y, en la casilla destinada a la firma, una cifra de dos dígitos que podría corresponder a la edad del interesado. Además, en ambos formularios y respecto a todos los interesados, se recoge la respuesta a cada una de las cuatro preguntas que les formularon. La pregunta número cuatro dice: “¿Desea recibir comunicaciones por vía telefónica?” 2.Conforme al RGPD (artículo 5.1.
  10. a)el tratamiento de datos personales ha de ser “lícito, leal y transparente” El principio de licitud exige que el tratamiento esté fundado en alguna de las bases jurídicas que relaciona el artículo 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 El formulario de ECOZONO informa de que la entidad es responsable del tratamiento y de que la base jurídica del tratamiento de los datos que en ellos se recogen es el consentimiento. Ahora bien, el mismo el formulario alude a la existencia de una relación comercial entre ECOZONO y los interesados. El formulario dice: “/Finalidad principal gestionar la relación comercial y el envío de información y prospección comercial/Legitimación. Consentimiento del interesado/”. (El subrayado es de la AEPD) A mayor abundamiento, el documento que ECOZONO ha remitido a esta Agencia con su respuesta a la solicitud informativa, denominado “XXXX CONSENTIMIENTO INTERESADOS ECOZONO Y CULTURA, S.L.,”, del que dice que es una “reedición del protocolo de calidad”, hace referencia a la existencia de una relación de prestación de servicio entre la reclamada y los interesados. El artículo 6.1 del RGPD bajo la rúbrica “Licitud del tratamiento” enumera seis circunstancias en las que resulta lícito el tratamiento, entre las que se mencionan el consentimiento (apartado
  11. a)y el tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales (apartado, b). Conforme al artículo 5.2 del RGPD “El responsable del tratamiento será responsable del cumplimiento de los dispuesto en el apartado 1 y capaz de demostrarlo”. Así pues, incumbe al responsable del tratamiento la carga de acreditar que existe una base jurídica que ampara el tratamiento de los datos de diecinueve personas que recogió a través de los formularios cuya copia obra en el expediente. Además, referido al consentimiento, se pronuncia en el mismo sentido el artículo 7 del RGPD “condiciones del consentimiento”- que dispone: “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquél consintió el tratamiento de sus datos personales.” El RGPD exige que el consentimiento sea expreso y lo define (artículo 4.11) como “toda manifestación de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;”. La validez del consentimiento exige que la manifestación de voluntad haya estado precedida de la información al interesado (artículo 4.11). El principio de transparencia obliga al responsable a informar al interesado de quien se recaban datos personales en los términos que establece el RGPD. El considerando 39 del RGPD dice sobre el particular: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. [...]” El considerando 60 del RGPD añade que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” Cuando los datos se obtengan directamente del interesado -como ocurre en el supuesto que nos ocupa- el artículo 13 del RGPD obliga a los responsables de tratamiento a facilitarles “en el momento en que los datos se obtengan” la información que detalla en los apartados 1 y 2, precepto que establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  12. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  13. b)los datos de contacto del delegado de protección de datos, en su caso;
  14. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  15. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  16. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  17. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indica-das en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  18. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  19. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  20. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  21. d)el derecho a presentar una reclamación ante una autoridad de control;
  22. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  23. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las con-secuencias previstas de dicho tratamiento para el interesado.” Cabe añadir que la realización de encuestas implica únicamente recoger la opinión o el parecer que tiene un individuo sobre una determinada cuestión y que para llevar a cabo esta operación no es indispensable recoger, ni tratar de otro modo, datos de carácter personal. Si en el curso de una encuesta se cree necesario o se opta por recabar del encuestado algún dato personal (como el número de teléfono móvil, el nombre o la edad) será preciso contar con su consentimiento para ese tratamiento, lo que implica -a tenor de los artículos 7 y 5.2 del RGPD- que el responsable deberá estar en condiciones de acreditar que recabó y obtuvo del interesado el consentimiento para ese tratamiento específico. También, de haber informado al interesado de la finalidad del tratamiento para el que otorga su consentimiento. En el presente caso, a la vista del formulario que ECOZONO utilizó para recoger datos personales a través de encuestadores, se constata que la reclamada no se limitó a recabar opiniones o puntos de vista de los individuos, sino que recogió y trató datos personales de cuya licitud es responsable. La reclamada - a quien se le dio traslado de la reclamación y de los documentos anexos a ella, dos fotografías de su formulario con los datos personales que se recabaron el 20/04/2021 y el 22/04/2021- no ha aportado ningún documento, en ningún soporte, que demuestre que cada uno de los diecinueve interesados cuyos datos se registraron en los formularios de ECOZONO hubieran consentido ese tratamiento. Tampoco ha aportado ningún documento que acredite que entre ella y cada una de las diecinueve personas cuyos datos figuran recogidos en dos formularios existiera alguna relación contractual previa en cuyo marco y para cuya ejecución fuera necesario tratar sus datos personales. En definitiva, la documentación que obra en el expediente evidencia que ECOZONO recogió los datos de diecinueve personas y, pese a que a ella le incumbe la prueba de la licitud del tratamiento efectuado, no ha demostrado la existencia de una o varias bases jurídicas que legitimen estos tratamientos. Así pues, su conducta podría ser constitutiva de una infracción del artículo 6.1. del RGPD. La infracción del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  24. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD, a los efectos de la prescripción, califica en su artículo 72.1.
  25. b)esta infracción como muy grave, precepto que dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  26. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV El artículo 58.2 del RGPD atribuye a las autoridades de control diversos poderes correctivos, entre ellos (apartado
  27. i)imponer una multa administrativa con arreglo al artículo 83 del Reglamento. La cuantía de la multa que conforme al artículo 83.5 del RGPD podría imponerse a la reclamada por la infracción del artículo 6.1 del RGPD cuya responsabilidad se le atribuye, infracción tipificada en el apartado
  28. a)de ese precepto, oscila en 1 euro y 20 000000 de euros. En la determinación del importe de la sanción que podría imponerse han de observarse, en todo caso, las previsiones de los artículos 83.1 y 83.2 del RGPD. Según el artículo 83.1 “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” El artículo 83.2 establece: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  29. a)a
  30. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  31. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  32. b)la intencionalidad o negligencia en la infracción;
  33. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  34. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  35. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17
  36. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  37. g)las categorías de los datos de carácter personal afectados por la infracción;
  38. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  39. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  40. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  41. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” A propósito del apartado
  42. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  43. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  44. a)El carácter continuado de la infracción.
  45. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  46. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  47. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  48. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  49. f)La afectación a los derechos de los menores.
  50. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  51. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con el artículo 83.1 del RGPD la sanción de multa que se imponga estará presidida siempre por los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad implica que existe una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que la medida que se aplique habrá de ser apta para alcanzar los fines que la justifican y habrá de adoptarse de forma que se produzca la menor injerencia posible. El artículo 83.2. del RGPD, a través de una relación de criterios de graduación de la sanción, refiere las técnicas a seguir para lograr dicha adecuación entre la sanción y la infracción cometida. Sin perjuicio del resultado de la instrucción, los factores de graduación del importe de la multa descritos en el artículo 83.2. del RGPD cuya concurrencia se aprecia en calidad de agravantes en esta fase del procedimiento son los siguientes: -Circunstancia del artículo 83.2.a), “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Circunstancia que en el supuesto que se examina tiene especial relevancia. Por una parte, la documentación que obra en el expediente acredita que el número de interesados afectados, cuyos datos personales habrían sido objeto de tratamiento con infracción del artículo 6.1 del RGPD, han sido diecinueve. Por otra, el propósito real de la operación de tratamiento se ignora, pues en el formulario que la encuestadora utiliza para recoger los datos de los interesados se menciona como finalidad, además del envío de comunicaciones comerciales, atender al cumplimiento de una relación comercial de cuya existencia nada se sabe. Más grave resulta el hecho de que la conducta infractora -vulneración del artículo 6.1. del RGPD- de la que se responsabiliza a la reclamada participe de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende, vulnerando la normativa de protección de datos, durante todo el periodo de tiempo en el que el dato es objeto de tratamiento. Se pronuncian en tal sentido las sentencias de la Audiencia Nacional de 16/09/2008 (rec.488/2006) y del Tribunal Supremo de 17/04/2002 (rec.466/2000) A este respecto, conocemos que en los días 20 y 22 de abril de 2021 se inició un tratamiento de datos personales que vulneraba el artículo 6.1 del RGPD y que afectó a diecinueve personas, pero se ignora si este tratamiento ha cesado y, en tal caso, en qué fecha y cuál fue el motivo determinante de que se pusiera fin al tratamiento. -Circunstancia del artículo 83.2.b), “la intencionalidad o negligencia en la infracción;”. Rige en nuestro Derecho sancionador el principio de culpabilidad, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento de la culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido reconocida por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, establece que “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En el presente supuesto, tanto la documentación aportada por la parte reclamada como sus declaraciones evidencian una grave omisión de la diligencia debida en el cumplimiento de las obligaciones que le impone el RGPD, en particular del principio de licitud. -Circunstancia del artículo 83.2.d), “el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 La infracción del RGPD de la que se responsabiliza a la reclamada es consecuencia de no haber adoptado las medidas técnicas y organizativas apropiadas para logar la aplicación efectiva de los principios que presiden el tratamiento de datos personales en el momento en el que se determinaron los medios de tratamiento. El formulario de recogida de datos demuestra que la reclamada no había previsto la adopción de ninguna medida encaminada a poder cumplir el principio de licitud. Es más, en el documento que la reclamada remitió a esta Agencia con su respuesta a la solicitud de información, previa a la admisión a trámite de esta reclamación, denominado “XXXX CONSENTIMIENTO INTERESADOS ECOZONO Y CULTURA, S.L.,” que ha calificado de “reedición del protocolo de calidad anteriormente citado”, tampoco se prevé la adopción de ninguna medida organizativa adecuada para estar en condiciones de acreditar el cumplimiento del principio de licitud. No se aprecia la existencia de circunstancias que atenúen la responsabilidad. En atención a lo expuesto, sin perjuicio del resultado de la instrucción, valoradas las circunstancias descritas en el artículo 83.2 del RGPD que concurren y a la luz de los principios de proporcionalidad y carácter disuasorio de la sanción, el importe de la multa que procedería imponer a la reclamada por la infracción del RGPD que se le atribuye es de 6.000€ (seis mil euros) Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ECOZONO Y CULTURA, S.L., con NIF B67508762, por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5.
  52. a)del RGPD. SEGUNDO: NOMBRAR instructora a B.B.B. y secretario a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos con ocasión de la solicitud informativa previa a la admisión a trámite de la reclamación. CUARTO: QUE, a los efectos previstos en el artículo 64.2
  53. b)de la LPACAP, la sanción que pudiera corresponder sería una multa por importe de 6.000€ (seis mil euros) QUINTO: NOTIFICAR el presente acuerdo a ECOZONO Y CULTURA, S.L., con NIF B67508762, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  54. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800€ (cuatro mil ochocientos euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800€ (cuatro mil ochocientos euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600€ (tres mil seiscientos euros) En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.800€ o 3.600€) deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno 935-150322 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 11 de mayo de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00400/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ECOZONO Y CULTURA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  55. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.