← España

PS-00493-2015

1/12 Procedimiento Nº PS/00493/2015 RESOLUCIÓN: R/00405/2016 En el procedimiento sancionador PS/00493/2015, instruido por la Agencia Española de Protección de Datos a la entidad HOTEL TRAINING, S. L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/11/2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: El 23/9/2014, una empresa denominada WORK TRAINING, sita en (C/....1), de Madrid (anexo 1), le ofreció telefónicamente celebrar una entrevista de trabajo, a la que acudió el 24/9/

  1. El entrevistador le pidió el currículum, y lo guardó. Acto seguido, le indicó que previamente a la incorporación al puesto ofertado, debería realizar un curso de formación que costaba 1.640 €, accediendo a firmar un contrato de capacitación profesional (anexo 2) y a abonar 200 € en metálico, que le requirieron como pago inicial. En el anverso del contrato constan sus datos personales y en la casilla FIRMA DEL ASESOR, refleja un sello de empresa que no es de WORK TRAINING, sino de HOTEL TRAINING, S.L.,, domiciliada en (C/....2) MADRID. En el reverso, en la cláusula 15, cita que “los datos personales e información que el usuario facilite a HOTEL TRAINING quedan recogidos en su base de datos”. Asimismo, en la cláusula 14 cita que “el usuario autoriza expresamente a HOTEL TRAINING a que sus datos personales así como su imagen puedan ser publicados en medios de comunicación, páginas web, tablones de anuncios, etc.; en el caso de aprobar el curso en que se ha matriculado, obtener una plaza o ser contratado por cualquiera de las empresas colaboradoras”, Indica que en la página de internet de la AEPD no ha obtenido resultado positivo sobre inscripción de fichero alguno gestionado por WORK TRAINING y HOTEL TRAINING, SL, ni por CAPACICENTER, ubicado en (C/....3), de Madrid, que es el centro donde imparten los cursos y que para darle acceso on-line al material formativo, dio de alta su clave de usuario (dirección de e-mail) y su contraseña (DNI). (Anexo 3). El 30/9/2014, remitió burofax a HOTEL TRAINING, SL, desistiendo del curso, según lo que la Ley 3/2014, de 27/03 marca y seguidamente, dio instrucciones a su banco para devolver cualquier recibo de esta empresa. (Anexo 4). El burofax fue recibido el 27/10/2014 (anexo 5) y a pesar de ello, el 30/10/2014 recibí un e-mail del Dpto. de Administración, advirtiendo que se había producido la primera devolución. (Anexo 6). Junto a la denuncia aporta la siguiente documentación:  Anexo 1: Copia de una tarjeta de visita correspondiente a B.B.B. del Departamento de Administración de WORK TRAINING, con domicilio en (C/....4), C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Madrid, teléfono y Email: ......@hoteltraining.es.  Anexo 2: Copia del CONTRATO DE CAPACITACIÓN PERSONAL de fecha 24/9/2014, firmado entre la denunciante y HOTEL TRAINING, SL. Figuran los datos de nombre y apellidos, dirección teléfonos, DNI, estudios, y e mail. Se informa en el punto 15 que “los datos personales e información que el usuario facilite a Hotel Training quedan recogidos en su base de datos y serán tratados para el desenvolvimiento del contrato incluyéndose las gestiones encaminadas a la gestión y recuperación del crédito”. No se contiene la sede ante la que ejercitar los derechos. Además se recoge en el punto 23 que “podrá suscribir contratos con terceros para la prestación de todos los servicios que son objeto de este contrato.”  Anexo3: Copia de folleto informativo de CAPACICENTER, con domicilio en (C/....3), Madrid, teléfono ***TEL.1 / ***TEL.2, Email: ........@capacicenter.es. Además una hoja de asignación de contraseña a su usuario, que es su correo electrónico, y se contenía también en el contrato de capacitación  Anexo 4: Copia del burofax de fecha 30/9/2014 remitido por denunciante a HOTEL TRAINING, SL ejerciendo el derecho de desistimiento sobre el CONTRATO DE CAPACITACIÓN PERSONAL de fecha 24/9/2014.y Anexo 5: Prueba de entrega en fecha de 27/10/2014 a HOTEL TRAINING, SL del burofax de fecha 30/9/
  2.  Anexo 6: Copia del correo electrónico de fecha 30/10/2014 remitido desde la dirección ......1@hoteltraining.es a .....@hotmail.com en el que se comunica que el recibo número 2 ha sido devuelto por el banco. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se efectúan las siguientes actuaciones previas:
  3. En fecha de 14/4/2015 se practica diligencia mediante la que se recaba de Internet la siguiente información relativa a HOTEL TRAINING, SL: 1.
  4. Se accede al Registro Mercantil a través de su página web obteniéndose que la sociedad HOTEL TRAINING, SL tiene el NIF B*******, se encuentra domiciliada en la (C/....2) de Madrid, tiene por objeto social aspectos relativos a la selección y formación de personal. 1.
  5. Se consulta al REGISTRO GENERAL DE PROTECCIÓN DE DATOS de la Agencia Española de Protección de Datos por el NIF B******* no encontrándose ningún fichero inscrito bajo dicho NIF. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 1.
  6. Se accede a la dirección web www.hoteltraining.es obteniéndose copias de pantallas de las diferentes páginas web que cuelgan de dicha dirección. Las citadas páginas ofrecen información sobre cursos de formación de personal para hoteles así como información de sus diferentes locales. No se encuentra en ninguna de las páginas formulario alguno para la captación de datos personales. Tampoco se encuentran páginas que faciliten datos personales.
  7. En fecha de 14/4/2015 se practica diligencia mediante la que se recaba de Internet la siguiente información relativa a CAPACICENTER, SL: 2.
  8. Se accede al Registro Mercantil a través de su página web obteniéndose que la sociedad CAPACICENTER, SL tiene el NIF B*******, se encuentra domiciliada en la (C/....3) de Madrid, tiene por objeto social aspectos relativos a la selección y formación de personal. 2.
  9. Se consulta al REGISTRO GENERAL DE PROTECCIÓN DE DATOS de la Agencia Española de Protección de Datos por el NIF B******* no encontrándose ningún fichero inscrito bajo dicho NIF. 2.
  10. Se accede a la dirección web www.capacicenter.es obteniéndose copias de pantallas de las diferentes páginas web que cuelgan de dicha dirección. Las citadas páginas ofrecen información sobre cursos de formación para personal de hoteles y para diversas oposiciones a fuerzas y cuerpos de seguridad del estado y de la administración de justicia, ofreciéndose también información de sus diferentes locales. No se encuentra en ninguna de las páginas formulario alguno para la captación de datos personales.
  11. En fecha de 12/6/2015 se realiza visita de inspección a la entidad HOTEL TRAINING, SL. no pudiéndose llevar a cabo por los siguientes motivos: 3.
  12. Se personan los inspectores actuantes en las oficinas de HOTEL TRAINING, SL. sitas en la calle (C/....4) comprobando que en dichas oficinas no se encuentra la mencionada empresa. Preguntado el portero de la finca, manifiesta que HOTEL TRAINING, SL. dejó dichas oficinas meses atrás desconociendo su actual paradero ya que no dejó dato de contacto alguno. 3.
  13. Posteriormente se personan los inspectores actuantes en el domicilio social de HOTEL TRAINING, SL. sito en la calle de (C/....2) donde constatan se ubica un centro de negocios en el que una empleada reconoce tiene su sede la sociedad HOTEL TRAINING, SL. si bien ninguna persona de dicha sociedad se encuentra en esos momentos en las oficinas. Los inspectores facilitan teléfono y correo electrónico de uno de los inspectores con el fin de que representantes de HOTEL TRAINING, SL. contacten con el inspector. 3.
  14. Al día de la fecha del presente informe no se ha recibido contacto alguno por parte de ningún representante de HOTEL TRAINING, SL
  15. En fecha de 12/6/2015 se realiza visita de inspección a la entidad CAPACICENTER, SL. no pudiéndose llevar a cabo por los siguientes motivos: 4.
  16. Se personan los inspectores actuantes en la sede social de CAPACICENTER, SL. sita en la (C/....3) comprobando que en dichas oficinas se encuentra actualmente la empresa WORKINGFORMA LINE, SL. 4.
  17. Empleados de esta última empresa informan a los inspectores de que la empresa CAPACICENTER, SL. ya no desarrolla actividad alguna en dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 locales desconociendo su actual domicilio así como cualquier dato de contacto de dicha sociedad.
  18. En fecha de 3/7/2015 se solicita información a HOTEL TRAINING, SL. siendo recogido el requerimiento de información en fecha de 16/7/2015 según figura en el acuse de recibo. A pesar de ello, no consta la recepción de respuesta alguna por parte de la entidad. TERCERO: Con fecha 8/09/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HOTEL TRAINING, SL. por infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.c), y por infracción del artículo 26.1 de la LOPD, tipificada como leve en el artículo 44.2.b). En cuanto a la notificación, se produjo un Intento de entrega el 14/09/2015 y un segundo Intento de entrega el 15/09/2015, infructuosos ambos, dejando el cartero aviso en buzón, resultando el envío devuelto a origen por no haberse retirado en la Oficina de Correos. Con fecha 8/10/2015 se produjo la publicación en el BOE del extracto de acuerdo de inicio a los efectos del artículo 59.5 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC). No se han formulado alegaciones frente al acuerdo de inicio. CUARTO: Con fecha 21/01/2016 se emite propuesta de resolución del literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a HOTEL TRAINING, S.L., con multa de 6.000 €, por la infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.c) de dicha norma. Que por el Director de la Agencia Española de Protección de Datos se sancione a HOTEL TRAINING, S.L., con multa de 1.000 €, por la infracción del artículo 26 de la LOPD, tipificada como leve en el artículo 44.2.b) de dicha norma.” La propuesta se entrega el 3/02/2016 sin que se recibieran alegaciones. HECHOS PROBADOS
  19. Con fecha 24/09/2014, la denunciante firmó un contrato de capacitación profesional en el que en la cláusula 15 se indica que HOTEL TRAINING es la receptora de los datos personales y serán tratados para el desenvolvimiento del contrato. Los datos que se proporcionaban son los básicos de filiación, profesión: Secretaria, y estudios, Graduado escolar mas una cuenta de domiciliación para pagar el curso (8, 9). El mismo se describe en la cláusula 1 para la “capacitación profesional” de formación en el sector de hostelería (8.9, 10, 11). Como parte del contrato, la denunciante efectuó un pago inicial de 200 euros y tenía que abonar además 18 cuotas mensuales de 80 euros desde 25/10/
  20. En el contrato figuran también los datos de la denunciante, de la cuenta bancaria para domiciliar los abonos, y su correo electrónico. Con fecha 25/09/2014 la denunciante formula desistimiento del citado contrato, comunicándoselo a HOTEL TRAINING (16 a 18). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12
  21. La capacitación profesional, según el propio contrato, consiste en impartición presencial o a distancia de un programa de formación, con entrega de material didáctico, que puede complementarse con tutorías. HOTEL TRAINING se compromete a ofrecer los servicios contratados y a poner los medios de que consta el programa de capacitación, cláusula 3 y 7 del contrato

(9). Finalizado el periodo formativo, HOTEL TRAININIG podrá enviar al alumno a realizar prácticas con entidades o empresas con las que tenga firmados convenios de colaboración cláusula 11
(9). 3. En las cláusulas del contrato figura la 14 en la que se contiene: “el usuario autoriza expresamente a HOTEL TRAINING a que sus datos personales, así como su imagen puedan ser publicados en medios de comunicación, páginas web, tablones de anuncios etc en el caso de aprobar el curso en que se ha matriculado, obtener una plaza o ser contratado por cualquiera de las empresas colaboradoras” en la que no se contiene oportunidad de oponerse a dichos tratamientos, no especifica la finalidad de dicha cesión, y no guarda relación con el fin del contrato de capacitación profesional. 4. También se contiene la cláusula 16 en la que se especifica que “Con el fin de recibir información que pueda ser de su interés, el usuario autoriza expresamente el envío de comunicaciones por parte de HOTEL TRAINING”, sin que se contenga tampoco la posibilidad de oponerse a dicho tratamiento ni detallar lo que sería información de “su interés” careciendo pues de especificación en cuanto a su finalidad la recogida de los datos para dicho propósito. 5. En el contrato, al recogerse los datos, no se establece dirección del responsable del tratamiento ni la sede ante la que ejercitar los derechos derivados de la recogida y uso de los datos (folio 9 clausula 14). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada HOTEL TRAINING una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 oposición.
  6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  7. c)y
  8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la denunciada debe dar a las personas con las que suscribe un contrato como el aportado por la denunciante, la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. En el contrato, al recogerse los datos de la denunciante, no se establece dirección del responsable del tratamiento ni la sede ante la que ejercitar los derechos derivados de la recogida y uso de los datos. El artículo 12 del Reglamento de la LOPD establece como principio general: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el caso que nos ocupa se ha podido comprobar que la entidad denunciada incumple lo dispuesto en el art. 5.1 LOPD en relación con el artículo 15 del RD 1720/2007, en la medida en que se ha podido comprobar que se contiene la cláusula 14 del contrato que contradice lo reseñado en dicha LOPD y Reglamento, al recogerse: “el usuario autoriza expresamente a HOTEL TRAINING a que sus datos personales, así como su imagen puedan ser publicados en medios de comunicación, páginas web, tablones de anuncios etc en el caso de aprobar el curso en que se ha matriculado, obtener una plaza o ser contratado por cualquiera de las empresas colaboradoras” en la que no se contiene oportunidad de oponerse a dichos tratamientos, no especifica la finalidad de dicha cesión, y no guarda relación con el fin del contrato de capacitación profesional. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. Además, en esa cláusula 14 que supone la cesión por parte del HOTEL a terceros, se debe contemplar el artículo 12.2 del mismo Reglamento que establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. En el presente supuesto, además se desconoce la finalidad de la citada cesión. Las consecuencias vienen previstas en el artículo 11.3 de la LOPD, que señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. En cuanto al contenido de la cláusula 16: “Con el fin de recibir información que pueda ser de su interés, el usuario autoriza expresamente el envío de comunicaciones por parte de HOTEL TRAINING”, se reproduce nuevamente la falta de definición y la unilateralidad y poca concreción en el tratamiento de los datos por parte de la denunciada, fallando el termino consentimiento expreso cuando realmente no se sabe de qué se trata, pues “de su interés” es ampliamente discrecional y vago. Se considera que la denunciada infringe el artículo 5 de la LOPD al no ser completa la cláusulas informativas contenidos, y al extralimitarse en la información proporcionada para el contentamiento del ámbito del tratamiento de los datos recabados. III El artículo 44.2.
  9. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la denunciada ha recabado datos personales sin facilitar a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 titular la información que señala el artículo 5 de la LOPD, en el sentido expresado en los Fundamentos de Derecho anteriores, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV La otra infracción imputada es la falta de inscripción de fichero que se contiene en el artículo 26 de la LOPD que indica: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que deba contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos”. El artículo 55.2 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, señala: “2. Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” A tenor de las definiciones de responsable del fichero o tratamiento y encargado del tratamiento recogidas en el artículo 3 de la LOPD, apartados
  10. d)-“Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”- se desprende que el responsable del fichero es HOTEL TRAINING SL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En el presente procedimiento, ha quedado acreditado con relación a la falta de inscripción de fichero por parte de la denunciada, que, en la fecha en que se denunciaron los hechos, no figura inscrito fichero alguno por parte de su responsable, acreditándose el incumplimiento de dicha inscripción. Los datos que se recogen son los básicos, la profesión, y estudios más los de la cuenta bancaria Aunque HOTEL TRAINING señalaba en el contrato que recabada los datos quedando a su disposición para una serie de finalidades que no se ajustan a la LOPD, carece también de fichero inscrito. V El artículo 44.2.
  11. b)de la LOPD, dispone: Son infracciones leves: “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. VI El artículo 45.1, y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. La denunciada tiene al menos dos cláusulas de deficiente redacción en la información que proporciona a sus alumnos de los que recaba habitualmente sus datos y el contenido de la sede ante la que ejercitar los derechos, por lo que se impone una sanción de 6.000 € por la infracción del artículo 5 y de 1.000 € por la falta de inscripción del fichero en que se recaban datos de estudios, y de profesión. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HOTEL TRAINING, S. L., una multa de 6.000 euros por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  22. c)de la LOPD, de conformidad con el artículo 45.1 y 4 de dicha LOPD. SEGUNDO: IMPONER a la entidad HOTEL TRAINING, S. L., una multa de 1.000 euros por una infracción del artículo 26 de la LOPD, tipificada como leve en el artículo 44.2.
  23. b)de la LOPD, de conformidad con el artículo 45.1 y 4 de dicha LOPD. TERCERO: NOTIFICAR la presente resolución a HOTEL TRAINING, S. L., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.