1/16 Expediente N.º: EXP202408514 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a FUNDACIÓN DEL TEATRO REAL con NIF G81352247 (en adelante, FTR). La parte reclamante manifiesta que, para poder comprar entradas por Internet, FTR le obliga a registrarse en su página web y aportar datos personales que no desea facilitar. No aporta evidencias junto con la reclamación. Por parte de la AEPD se hace constar los datos solicitados por FTR en el registro para la creación de una cuenta previa a la compra de entradas, como evidencia para el procedimiento. Dichos datos incluyen, como obligatorios para la creación de la cuenta, los siguientes: correo electrónico, nombre, apellidos, fecha de nacimiento, “Pasaporte/DNI”, dirección postal principal (con los campos dirección, código postal, localidad, provincia, país) y teléfono móvil. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a FTR, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), habiendo accedido la parte reclamante al contenido de la notificación con fecha 11/06/2024 como consta en el certificado que obra en el expediente. Con fecha 10/07/2024 se recibe en esta Agencia escrito de respuesta, acompañado de un informe técnico de la empresa ***EMPRESA.1., en calidad de Delegado de Protección de Datos de FTR. En su respuesta al traslado de la reclamación, en relación con la exigencia de registrarse como usuario y facilitar determinados datos para poder realizar el proceso de compra de entradas online, FTR señala lo siguiente: “La Fundación Teatro Real (FTR) solicita que el cliente se registre como usuario previo a la compra de entrada online, en ese proceso se solicitan datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 personales necesarios para que FTR pueda cumplir con el servicio prestado, facilitar al usuario información relativo a la función programada, posibles retrasos o incidencias en el proceso de compra, entre otros.” En cuanto a la finalidad para la que se recogen y tratan los datos, FTR señala que “Los datos solicitados son necesarios para poder procesar la transacción de manera segura y eficiente, así como para brindar un mejor servicio al cliente, pero no serán tratados para fines comerciales, a menos que el cliente expresamente haya aceptado recibir comunicaciones”. A continuación, relaciona los “datos de carácter obligatorios en el proceso de registro de usuario para la compra online” y manifiesta que entiende justificada la solicitud de dichos datos, por los siguientes motivos para cada uno de ellos: - Nombre y apellido: para identificar al comprador y asegurarse de que la transacción se realice correctamente. Dirección de correo electrónico: Necesario para el envío de entradas electrónicas y cualquier otra información relevante sobre el espectáculo. Número de teléfono móvil: Necesario para contactar al comprador en caso de cambios en el espectáculo o problemas con la compra. Fecha de nacimiento: Necesario para justificar y otorgar validez a entradas que cuenten con precios especiales asociados a la edad del comprador. Ejemplo: jóvenes de hasta 35 años que acceden a entradas con tarifas especiales. Dirección postal completa: Necesario para procesar el pago de las entradas adquiridas, así como recibir material de cortesía no digital. Ejemplo: envío anual del libro de la temporada del Teatro Real a sus abonados. Pasaporte/DNI: Necesario al adquirir el seguro de no asistencia. Código postal y país: Necesario para conocer origen geográfico y obtener métricas estadísticas de los compradores de entradas del Teatro Real. Asimismo, indica que, en el caso de venta de entradas en la taquilla, se solicitan con carácter obligatorio los datos “nombre, apellidos y teléfono” y, con carácter opcional, los de “correo electrónico, fecha de nacimiento, pasaporte/DNI, dirección postal completa y país”. De acuerdo con lo anterior, concluye que considera necesario recopilar todos los datos indicados para cumplir con la finalidad del servicio prestado. TERCERO: Con fecha 24 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 2 de diciembre de 2024, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó con fecha 23/12/2024 escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Con carácter general, afirma que considera que su “proceso de venta es una experiencia global, que abarca desde el proceso de compra, la asistencia al espectáculo y la manera en la que se asiste al espectáculo, disponiendo en todo caso de una información cercana, actualizada y transparente”. En cuanto a los datos exigidos con carácter obligatorio en el proceso de venta online y que son objeto de la reclamación, aporta la siguiente justificación para su solicitud, indicando modificaciones en cuanto a su carácter obligatorio o voluntario: - - Acerca de la dirección postal completa (a excepción del código postal), señala que “contribuye a optimizar la experiencia del usuario” y se utiliza para “recibir productos comprados en la tienda”. El número del pasaporte/DNI, se considera necesario para acreditar la identidad de los espectadores cuando las Fuerzas y Cuerpos de Seguridad del Estado lo solicitan debido a las personalidades de alto rango que acuden a sus funciones. Sobre la fecha de nacimiento señala que sería una información “opcional” y serviría para acreditar compras con tarifas especiales por edad y se utiliza además con fines estadísticos. El código postal se mantiene como campo obligatorio a efectos de obtener estadísticas (volumen de compras por región) y señala que en el tratamiento no se vincula con información identificable. En cuanto al dato de teléfono móvil, considera necesario mantenerlo como obligatorio) para el proceso de compra ya que el correo electrónico no es una vía de comunicación utilizada por los usuarios de mayor edad y limitar el contacto al correo electrónico dificulta tener una vía de contacto ágil para informar sobre cancelaciones. Afirma además haber realizado un análisis de los procesos de venta de instituciones análogas, con la conclusión de que se solicitan datos similares a los que utiliza FTR. Afirma asimismo que su actuación no fue intencionada y que siempre ha procurado cumplir con el principio de minimización de datos. Por último, solicita que se tenga en cuenta el principio de proporcionalidad a la hora de imponer una sanción, teniendo en cuenta la ausencia de antecedentes, el poco perjuicio, medidas adoptadas y su voluntad de colaboración. Aporta como evidencias capturas de pantalla con los datos exigidos actualmente en el proceso de compraventa de entradas a través de la web, así como extracto de la política de privacidad que se va a incluir. SEXTO: Con fecha 13 de febrero de 2025 se formuló propuesta de resolución, proponiendo la declaración de una infracción de FTR del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Además, se proponía que se ordenase que, en virtud del artículo 58.2.
- d)del RGPD, en el plazo de tres meses, FTR acredite la adopción de las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 - Modificación del procedimiento de venta de entradas a través de la página web, eliminando la exigencia de los siguientes datos personales con carácter obligatorio, al no resultar necesarios para el tratamiento en relación con la finalidad para la que son recabados: nº de pasaporte/DNI, código postal y país. - Asimismo, y en relación con mismo procedimiento de venta de entradas, limitación de las finalidades vinculadas al número de teléfono móvil como dato personal obligatorio a aportar, para evitar duplicidades respecto a otros datos personales ya exigidos. SÉPTIMO: Con fecha 27/02/2025, FTR ha formulado las siguientes alegaciones a la propuesta de resolución: La primera de las alegaciones versa sobre el mantenimiento del DNI como dato obligatorio. Al respecto FTR señala: “(…) Tras realizar un estudio exhaustivo sobre la solicitud del DNI como un dato obligatorio u opcional, FTR mantiene la necesidad de solicitar el DNI como un requisito obligatorio sólo en los supuestos de contratación de seguro o solicitud de factura. No obstante, se solicitará como dato opcional por razones de seguridad. La necesidad de solicitar el DNI se fundamenta en la colaboración con las fuerzas y cuerpos de seguridad del Estado, especialmente durante las recurrentes visitas de personalidades de alto rango a las instalaciones de FTR. En estos casos, las fuerzas de seguridad implementan medidas de seguridad reforzadas, incluyendo la solicitud de documentos de identidad de todos los presentes en la sala para verificar la identidad de las personas que acceden a áreas restringidas o de mayor riesgo. Por ello, con la supresión del DNI como dato obligatorio que los asistentes deben aportar en el proceso de compra, sólo se podrá aportar a las fuerzas y cuerpos de seguridad del Estado el DNI de aquellos que así lo aporten voluntariamente. Así se indica también en la política de protección de datos al indicar los destinatarios de los mismos. (…) La segunda de las alegaciones se refiere al mantenimiento del correo electrónico como dato necesario y exigible. FTR señala: “En segundo lugar, la FTR ha procedido a suprimir como dato obligatorio el que los asistentes aporten el número de teléfono en el proceso de compra de entradas, dejando como única vía de comunicación, el correo electrónico. No obstante, se advierte a la Agencia que la supresión de este dato como obligatorio perjudica directamente los intereses de los espectadores, impidiendo a la FTR mantener una vía directa de contacto, en la que se garantiza de una manera más certera que con un correo electrónico, el espectador es conocedor de las modificaciones del espectáculo. En conclusión, sólo se mantiene el correo electrónico como campo obligatorio con la finalidad de proceder al envío de las entradas y como medio principal para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 informar sobre incidencias o cancelaciones. Esta medida se fundamenta en la necesidad de contar con una evidencia verificable de que FTR ha notificado a los asistentes en tiempo y forma sobre cualquier imprevisto que pueda afectar el desarrollo del evento. De esta manera, se puede demostrar el cumplimiento de las obligaciones contractuales y legales en caso de controversia”. En la tercera de las alegaciones FTR resume los cambios que se han realizado a raíz del presente procedimiento: “- Código postal, se procede a la modificación y solicitud como campo opcional en el registro de compra. Asimismo, su finalidad se completa en la política de privacidad. - Teléfono, se procede a la modificación y solicitud como campo opcional, para aquellos que quieran una segunda comunicación sobre las cancelaciones por vía telefónica. Se trataría de un doble factor de verificación adicional y directo de que el usuario ha sido informado sobre la cancelación. Si bien el correo electrónico se mantiene como el medio principal, y es opcional que el usuario decida si quiere una doble vía de comunicación por vía telefónica. - Política de privacidad sobre la compra de entradas. Se mejora el texto informativo actual, en concreto las finalidad y destinatarios. - Se solicita el DNI, de carácter voluntario a efectos de mejorar la seguridad en nuestras instalaciones. Sólo será obligatorio cuando el espectador decida contratar aquellos servicios que así lo requieran, como es el seguro (la ley del seguro obliga a indicarlo). Ya que la finalidad es garantizar la seguridad de las instalaciones, especialmente cuando acuden personalidades de alto rango y colaborar con las fuerzas y cuerpos de seguridad.” Por último, acompaña el texto modificado de su política de privacidad en la que se recogen los cambios operados. HECHOS PROBADOS PRIMERO: FTR es el responsable del tratamiento de datos personales derivados de la compraventa de entradas para asistir a sus espectáculos. SEGUNDO: FTR cuenta, al menos, con dos procedimientos distintos para la compraventa de entrada: presencialmente en la taquilla o a través de la página web. TERCERO: Los datos personales recogidos para la compra de entradas en taquilla son “nombre, apellidos y teléfono” y, con carácter opcional, los de “correo electrónico, fecha de nacimiento, pasaporte/DNI, dirección postal completa y país”. CUARTO: El proceso de compra de entradas a través de la página web exige la creación de una cuenta de cliente, a diferencia del proceso de compra presencial en la taquilla. QUINTO: A fecha de apertura de este procedimiento sancionador, el proceso de compra de entradas, y la consecuente creación de una cuenta cliente, a través de la página web exigía con carácter obligatorio los siguientes datos personales del comprador: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 - Nombre y apellidos Dirección de correo electrónico Número de teléfono móvil Fecha de nacimiento Dirección postal completa Pasaporte/DNI Código postal y país SEXTO: Con posterioridad al inicio del presente procedimiento sancionador, los datos personales obligatorios exigidos por FTR en la creación de una cuenta cliente necesaria para la compra de entradas a través de la página web son: - Nombre y apellidos Dirección de correo electrónico Número de teléfono móvil Pasaporte/DNI Código postal y país FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones formuladas por FTR al acuerdo de inicio En respuesta a las alegaciones al acuerdo de inicio presentadas por la entidad reclamada se debe señalar lo siguiente: En primer lugar, se constata que hay dos datos que a fecha del inicio del presente procedimiento se exigían con carácter obligatorio en el proceso de venta y que, a fecha de esta resolución son datos de carácter voluntario: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 - Fecha de nacimiento, que actualmente solo se exige cuando se solicitan tarifas reducidas a partir de determinada edad. Dirección postal completa, que se solicitaba para “optimizar la experiencia de usuario” y “para recibir productos comprados en la tienda”, se solicita actualmente con carácter voluntario e informando de esa segunda finalidad. Al respecto cabe reiterar lo indicado en el acuerdo de inicio de este expediente, en el sentido de que no se consideraba que la necesidad de dichos datos estuviese justificada de acuerdo con los fines manifestados por FTR. Por otro lado, si bien se valora positivamente la adaptación a la normativa realizada, ello no impide que la infracción se haya cometido. En relación con la justificación de la necesidad de los demás datos, que FTR considera y argumenta que son necesarios para el tratamiento, cabe hacer las siguientes observaciones: En cuanto al número del pasaporte/DNI, indica FTR que “esta información se considera necesaria debido a que por la naturaleza del TEATRO REAL y las personalidades de alto rango que acuden a sus funciones, debe acreditarse la identidad de los espectadores cuando aleatoriamente las Fuerzas y Cuerpos de Seguridad del Estado lo soliciten en el marco de sus medidas rutinarias preventivas de seguridad internas. Destacar en este sentido, que la información tratada en todo momento es el NIF, y no el resto de datos que contiene el Documento Nacional de Identidad, ni la copia del mismo”. Esta alegación es diferente a la inicialmente manifestada por FTR en la respuesta al traslado, en la que se argumentaba que ese dato era “necesario al adquirir el seguro de no asistencia” y también respecto de las finalidades generales que se indicaron sobre el proceso de compra y la mejora del servicio al cliente. En ese mismo sentido se comprueba que, tras la modificación de la información de la página web, en el momento de recoger ese dato en la página web se le indica lo siguiente: “Información necesaria para solicitar factura y en caso de adquirir seguro de no asistencia durante el proceso de compra de entradas”. Tampoco en la información relativa a protección de datos que se ha modificado en la web se indica (ni en relación con la finalidad de tratamiento ni en relación con los destinatarios) que se faciliten a Fuerzas y Cuerpos de Seguridad por motivos de seguridad. Por otro lado, esta argumentación es contradictoria con el hecho, manifestado por FTR en su respuesta al traslado, de que en la venta de entradas en la taquilla no se recoge el NIF o número de pasaporte. No cabe, por tanto, entender necesaria la aportación de dicho dato en un caso y no en otro cuando ambos tipos de espectadores van a acudir al mismo espectáculo en el mismo recinto. Así pues, no se considera que haya quedado justificada la solicitud de dicho dato desde el punto de vista de la minimización de datos, que establece el artículo 5.1
- c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 En relación con el código postal (y se entiende que, con los datos de ciudad y país, aunque no se mencionan expresamente en su escrito), alega FTR que “esta información se mantiene como campo obligatorio y sólo a efectos de obtener estadísticas del proceso de compra de entradas (volumen de compras por región) y en cuyo tratamiento para este fin no se vincula con información identificable”. Sin embargo, la propia finalidad de obtener estadísticas indica que no se trata de un dato necesario para las finalidades que se citan para el tratamiento (la compraventa y la mejorar del servicio al cliente) desde el punto de vista de la minimización de datos, sino con un objetivo razonable desde el punto de vista del negocio de FTR, pero independiente del propio proceso de compra, en el que ese dato no influye ni se ve afectado si dicho dato no es conocido. En este sentido, es legítimo que FTR realice estadísticas relativas al origen geográfico a su público, pero los datos para la recogida con ese fin deben de tener de carácter voluntario sin que en ningún caso se pueda exigir esa información como condición para la adquisición de entradas. En cuanto al dato de teléfono móvil, FTR señala que se utiliza para informar sobre cancelaciones o incidencias relacionadas con el espectáculo. Considera necesario mantenerlo como dato obligatorio ya que el correo electrónico, que se utiliza para enviar las entradas al comprador, no es una vía de comunicación utilizada por los usuarios de mayor edad y limitar el contacto al correo electrónico dificulta tener una vía de contacto ágil para informar sobre cancelaciones. Desde el punto de vista de la minimización de datos, no se podrían recoger con carácter obligatorio dos datos para una misma finalidad si con un dato es suficiente. En el presente caso, no se podrían requerir obligatoriamente el teléfono móvil y el correo electrónico para comunicar cancelaciones si con uno de los dos datos se puede cumplir con dicha finalidad. En este sentido, de las alegaciones de FTR se deduce que considera necesario solicitar el teléfono móvil como vía para comunicar posibles cancelaciones ya que otros medios (como el correo electrónico) no garantizan que éstas sean recibidas a tiempo. En ese caso, el teléfono móvil podría requerirse con carácter obligatorio exclusivamente para esa finalidad y no podría requerirse otro dato adicional. De acuerdo con lo anterior, en caso de requerirse con carácter obligatorio el correo electrónico, tendría para otra finalidad distinta de la de informar sobre cancelaciones. Según lo indicado por FTR, la finalidad por la cual se recaba el correo electrónico sería el envío de las entradas. Pero no podría recabarse además para comunicar cancelaciones, pues para ese fin, FTR ya se cuenta con el teléfono móvil. Todo lo anterior, teniendo en cuenta las circunstancias de este caso concreto y las finalidades y análisis argumentados por FTR en relación con este tratamiento y estos datos en concreto. En cuanto a la alegación sobre la ausencia de intencionalidad, lo relevante, a efectos del presente procedimiento, sería la existencia de responsabilidad por parte de FTR sobre los hechos objeto del presente procedimiento, de acuerdo con lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Por último, en relación con la alegación de FTR para que se aplique el principio de proporcionalidad en la sanción teniendo en cuenta la ausencia de antecedentes, el poco perjuicio, medidas adoptadas y su voluntad de colaboración, cabe citar de nuevo las Directrices 04/2022 del CEPD. En su apartado 7.2 (puntos 137 y siguientes), las Directrices se refieren a este principio, en relación con la cuantificación de las multas, en los siguientes términos: “137. El principio de proporcionalidad exige que las medidas adoptadas no superen los límites de lo apropiado y necesario para alcanzar los objetivos legítimamente perseguidos por la legislación de que se trate; cuando se opte entre varias medidas adecuadas, debe recurrirse a la menos onerosa, y las desventajas ocasionadas no deben ser desproporcionadas con respecto a los objetivos perseguidos. 138. De ello se deduce que las multas no deben ser desproporcionadas con respecto a los objetivos perseguidos (es decir, el respeto de las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a las normas relativas a la libre circulación de datos personales), y que el importe de la multa impuesta debe ser proporcionado a la infracción, considerada en su conjunto, teniendo en cuenta, en particular, la gravedad de la infracción. 139. Por lo tanto, la autoridad de control verificará que el importe de la multa es proporcional tanto a la gravedad de la infracción como al tamaño de la empresa a la que pertenece la entidad que cometió la infracción, y que la multa impuesta no excederá de lo necesario para alcanzar los objetivos perseguidos por el RGPD.” En el presente caso, hay que tener en cuenta que FTR es una fundación del sector público y le es por tanto de aplicación lo dispuesto en el artículo 77 de la LOPDGDD. Por ello, si finalmente el procedimiento sancionador concluye que se ha producido una infracción imputable a FTR, se dictará resolución declarando dicha infracción, ordenando en su caso las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. No habría, por tanto, imposición de multa y por tanto no procedería analizar la proporcionalidad de su cuantía. En cuanto a la declaración de infracción y la imposición de medidas necesarias para evitar que expongan los datos que se consideran excesivos de acuerdo con el artículo 5.1
- c)del RGPD, se considera que, de no adoptar dichas medidas, no se alcanzarían los objetivos perseguidos por el RGPD (en este caso, que no se traten más datos de los necesarios) y, por lo tanto, se consideran acordes con el principio de proporcionalidad. III Contestación a las alegaciones formuladas por FTR a la propuesta de resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 En relación con las alegaciones a la propuesta de resolución, cabe señalar lo siguiente: Sobre la exigencia del DNI, sobre el que la FTR distingue dos finalidades distintas. La primera de ellas, en los supuestos de contratación de seguro o solicitud de factura. En estos casos, sostiene la FTR que se solicitará con carácter obligatorio. Al respecto cabe señalar que sobre esa finalidad no se informaba en su día en el proceso de compra de entradas. Por ello, únicamente cabe recordar que, en ese caso, dicho dato se tendrá que solicitar en el momento en el que se realice la contratación del seguro o se solicite factura, informando de que esa es la finalidad para la que se utilizará el número del DNI. La segunda finalidad que menciona FTR es la colaboración con las fuerzas y cuerpos de seguridad del Estado, especialmente en visitas de personalidades de alto rango, en las que se implementan medidas de seguridad reforzadas, incluyendo la solicitud de documentos de identidad de todos los presentes. En relación con esta finalidad, indica la FTR que, en adelante, en el proceso de compra se solicitará el dato del DNI con carácter voluntario. A efectos de este procedimiento, en la propuesta de resolución se había desestimado la alegación de la FTR de la necesidad de exigir el número del DNI por motivos de seguridad. En sus alegaciones frente a dicha propuesta no aporta la FTR una base legal para que dicho dato se exigiese con carácter obligatorio, aceptando que en adelante se solicitará con carácter voluntario, a lo que cabe añadir que, en ese caso, deberá informarse de la finalidad para la que se utilizará. La segunda alegación de la FTR, reproducida en los antecedentes de hecho, se refiere a los datos de correo electrónico y teléfono como vía de comunicación para el envío de las entradas y para informar sobre cancelaciones e incidencias. Al respecto, cabe aclarar lo expuesto en la propuesta de resolución en relación con la exigencia del correo electrónico y el teléfono móvil. El argumento de esta Agencia es que, de acuerdo con el principio de minimización de datos del artículo 5.1
- c)del RGPD, deben limitarse los datos a los necesarios para los fines con los que son tratados. Corresponde a la FTR determinar cuáles son esos fines y qué datos son necesarios para conseguirlos. En cualquier caso, no se entiende el argumento que añade la FTR en sus alegaciones de que se mantiene el correo electrónico como medio principal para informar sobre cancelaciones fundamentado en “la necesidad de contar con una evidencia verificable de que FTR ha notificado a los asistentes en tiempo y forma sobre cualquier imprevisto que pueda afectar el desarrollo del evento. De esta manera, se puede demostrar el cumplimiento de las obligaciones contractuales y legales en caso de controversia” ya que, de acuerdo con la información remitida por la propia FTR, en el caso de la compra de entrada en la taquilla no se exige el dato del correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Por último, resume la FTR los cambios que se han realizado a partir del presente procedimiento, indicando que los datos de código postal, teléfono y DNI se mantendrán como datos opcionales en el proceso de compra y añadiendo el texto con el que se modificará la información sobre su política de privacidad en la página web. Con carácter general, en lo que afecta al presente procedimiento sancionador, cabe concluir que las alegaciones no alteran los hechos probados y los argumentos planteados en la propuesta de resolución. IV Consideraciones previas De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FTR realiza, entre otros tratamientos, su recogida, operaciones relativas a los pagos y conservación, tanto en relación con el proceso de compra de entradas como con fines estadísticos. FTR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. La FTR es una fundación del sector público estatal, cuyo régimen jurídico se establece en el Capítulo VII del Título II de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y en Ley 50/2002, de 26 de diciembre, de Fundaciones y está registrada como tal en el Registro de Fundaciones del Ministerio de Presidencia, Justicia y Relaciones con las Cortes. V Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Por otro lado, en su apartado 2, dicho artículo establece como obligaciones del responsable no solo cumplir con el principio de “minimización de datos”, sino también ser capaz de demostrarlo: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” En el presente caso, ha quedado acreditado que FTR realizaba una operación en el proceso de compra de las entradas online que implicaba el tratamiento de datos personales para la cual se solicitaba con carácter obligatorio una serie de datos que serían excesivos para la finalidad que se persigue. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 En particular, se considera que no está justificada la exigencia de los siguientes datos, en relación con las finalidades indicadas por la parte reclamada, por los motivos que se indican a continuación: - Fecha de nacimiento, que se exigía para comprobar si la persona tenía derecho a una tarifa asociada a la edad, porque este dato puede ser solicitado solo cuando el comprador pretenda beneficiarse de dicha tarifa. - Dirección postal completa, que se solicitaba para el proceso de pago y envío de material de cortesía o productos adquiridos en la tienda, ya que no se justifica que sea necesario para el pago y el envío de productos no es una finalidad relacionada con el proceso de venta de entradas. - NIF o número de pasaporte, que se justificaba inicialmente para la contratación de un seguro y posteriormente por motivos de seguridad, ya que la contratación del seguro es opcional y no ha quedado acreditada la necesidad de remitir los datos por motivos de seguridad, de acuerdo con lo expuesto en apartados anteriores. - Código postal, ciudad y país, que se recogían con fines estadísticos, dado que se trataría de una finalidad distinta y adicional a la venta de entradas. En cuanto a la exigencia del teléfono móvil, no se entiende justificada salvo que se utilice exclusivamente para comunicar cancelaciones de los espectáculos e informando a los clientes que se utiliza para ese fin. Por todo lo anterior, los hechos probados acreditan un incumplimiento del principio de minimización de datos del artículo 5.1
- c)del RGPD. VI Tipificación de la infracción y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Como se ha dicho, la FTR es una fundación del sector público estatal, de acuerdo con lo establecido en el Capítulo VII del Título II de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y está registrada como tal en el Registro de Fundaciones del Ministerio de Presidencia, Justicia y Relaciones con las Cortes. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del Artículo 5.1.
- c)del RGPD tipificada en el Artículo 83.5.
- a)del RGPD. La sanción que corresponde imponer es la declaración de infracción. VIII Adopción de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Se acuerda, además, imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, consisten en que FTR acredite, en el plazo de tres meses a contar desde la fecha de ejecutividad de esta resolución, haber adoptado las medidas siguientes: - Modificación del procedimiento de venta de entradas a través de la página web, eliminando la exigencia de los siguientes datos personales con carácter obligatorio, al no resultar necesarios para el tratamiento en relación con la finalidad para la que son recabados: nº de pasaporte/DNI, código postal y país. - Asimismo, y en relación con mismo procedimiento de venta de entradas, limitación de las finalidades vinculadas al número de teléfono móvil como dato personal obligatorio a aportar, para evitar duplicidades respecto a otros datos personales ya exigidos. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que FUNDACIÓN DEL TEATRO REAL, con NIF G81352247, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a FUNDACIÓN DEL TEATRO REAL, con NIF G81352247, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas siguientes: - Modificación del procedimiento de venta de entradas a través de la página web, eliminando la exigencia de los siguientes datos personales con carácter obligatorio, al no resultar necesarios para el tratamiento en relación con la finalidad para la que son recabados: nº de pasaporte/DNI, código postal y país. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 - Asimismo, y en relación con mismo procedimiento de venta de entradas, limitación de las finalidades vinculadas al número de teléfono móvil como dato personal obligatorio a aportar, para evitar duplicidades respecto a otros datos personales ya exigidos. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es