← España

PS-00497-2015

1/13 Procedimiento Nº PS/00497/2015 RESOLUCIÓN: R/00359/2016 En el procedimiento sancionador PS/00497/2015, instruido por la Agencia Española de Protección de Datos a la entidad VIESGO COMERCIALIZADORA DE REFERENCIA, S.L., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo el denunciante) comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual que utilizan en su actividad comercial con consumidores las siguiente cinco comercializadoras: (…) • E.ON Comercializadora de Último Recurso, S.L. (actualmente denominada Viesgo Comercializadora de Referencia, S.L.) (en lo sucesivo el denunciado) (…) Se trata de las cinco empresas designadas como “comercializadores de referencia” en toda España para el suministro de energía eléctrica conforme a lo establecido por el Real Decreto 216/2014, de 28 de marzo, por el que se establece la metodología de cálculo de los precios voluntarios para el pequeño consumidor de energía eléctrica y su régimen jurídico de contratación; cuatro de estas empresas son también comercializadoras de último recurso de gas natural. En Anexo a este escrito se detallan las presuntas irregularidades, en materia de protección de datos detectadas en la respectiva política de privacidad de las cinco empresas, y se adjunta también la documentación contractual que contiene las cláusulas cuestionadas. Las irregularidades detectadas consisten esencialmente en que no queda acreditado que, en el momento de la recogida de los datos de carácter personal, las empresas cumplan las obligaciones que les incumben en relación con la solicitud del consentimiento del afectado para el tratamiento y comunicación de aquellos con finalidades ajenas a la estricta ejecución del contrato suscrito…>> ANEXO Irregularidades detectadas en materia de Protección de Datos en la documentación contractual utilizada por comercializadores de referencia (energía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 eléctrica y gas) CLÁUSULA (Comunicaciones comerciales y cesión de datos) “Salvo manifestación en contrario en este documento o en cualquier momento posterior, el titular de los datos personales consignados consiente que éstos puedan ser utilizados por el Comercializador con el fin de enviarle información sobre sus actividades y servicios, además de la cesión a otras sociedades del Grupo de éste…con fines informativos relacionados con los servicios que prestan, así como a las personas o entidades integradas en la red de ventas del Comercializados en relación con la oferta o prestación de sus servicios [...] Marcando la casilla: □ Deniego la utilización de los datos por el Comercializador con fines informativos y comerciales. □ Deniego que los datos personales sean cedidos a todas las empresas del Grupo E. ON España” (condición general 15). COMENTARIO El art. 15, segundo párrafo del Reglamento de la LOPD determina que se entenderá cumplido el deber empresarial de permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos para finalidades extracontractuales cuando le ofrezca la posibilidad de marcar al efecto “una casilla claramente visible”. Las dos casillas establecidas por esta empresa para que el afectado pueda mostrar su negativa expresa a que sus datos sean tratados o comunicados para finalidades que no guardan relación directa con la ejecución del contrato suscrito no reúnen el requisito de clara visibilidad que exige el precepto indicado, ya que se incluyen de modo indiferenciado en la densa tipografía utilizada a lo largo de las tres páginas de condiciones generales del contrato de suministro de energía eléctrica. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita documentación al denunciante, por lo que traslada copia del escrito del denunciado de 06/10/2014 en que comunica al Instituto Madrileño de Consumo: <<…1. Que, con fecha de 24 de septiembre de 2014, nos ha remitido por ese Instituto de Consumo un escrito donde se nos requiere para que en el plazo de días hábiles aportemos “modelo de! contrato completo (incluidos anexos si existieran) y del resto de documentación precontractual, documento de desistimiento en su caso, otros contratos anexos al principal, etc.) que entregan a los consumidores con ocasión de su contratación con la empresa.”. 2. Que, siguiendo con el requerimiento procedemos a través del presente escrito a aportar los siguientes documentos:

  1. a)Contrato que se remite: (
  2. i)a aquellos clientes que a la entrada en vigor del Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Decreto 216/2014 ya eran clientes de E.ON COMERCIALIZADORA DE ÚLTIMO RECURSO, S.L. y: (
  3. ii)a aquellos clientes que soliciten un alta nueva o que piden su entrada en el precio voluntario al pequeño consumidor o en la Tarifa de Último Recurso: (documento n°2)…>> TERCERO: A la vista de la documentación recibida se tiene conocimiento de que en el citado contrato, la cláusula informativa recoge consentimiento para cesión al grupo de empresa y entidades integradas en la red de ventas, sin indicar sectores de actividad de las empresas a las que se cederán los datos, con fines publicitarios sin indicar los sectores de actividad respecto de los que puede recibir publicidad. La cláusula tiene casilla para publicidad y para cesión. CUARTO: Con fecha 24 de septiembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con el artículo 11.3 de la LOPD y el 45.1.
  4. b)del citado Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
  5. c)de la citada Ley Orgánica, pudiendo ser sancionada, con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada ley. QUINTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 15/10/2015 formuló alegaciones, significando que: <<…La única conducta que podría achacarse a VIESGO es la de no haber detallado los servicios concretos para los que los terceros contratados por VIESGO pueden acceder a los datos de sus clientes pero ello resulta lógico, en la medida en que todos los servicios contratados constar en el contrato, y, tratándose de nuevos servicios, éstos no se pueden identificar antes del momento en que se empiecen a ofertar. En cuanto a servicios prestados actualmente por VIESGO pero no contratados por un determinado cliente, los mismos se encuentran especificados en la página web de la Compañía, accesible para todos los públicos, por lo que no puede entenderse que no detallarlos en el contrato suponga un incumplimiento legal. Incluiremos no obstante, el correspondiente link en el contrato, para aquellos clientes que deseen ampliar su derecho de información. No obstante, lo cierto es que las cesiones de datos realizadas por VIESGO no pueden considerarse “comunicaciones de datos”, en el sentido que las mismas se recogen en el artículo 11 de la LOPD, puesto que, en ningún caso dichas cesiones de información se realizan si no es bajo el amparo del art. 12 de la LOPD (Accesos a datos por cuenta de terceros). Por ello, todas las cesiones de datos que se realizan por parte de VIESGO bien con las propias empresas del grupo, bien con terceras empresas, vienen motivadas por la realización de prestaciones de servicios convenientemente reguladas, mediante la suscripción de acuerdos de colaboración entre las propias empresas del grupo, o mediante contratos explícitos con las empresas externas subcontratadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 En consecuencia, de facto, no puede considerarse infringido el artículo 11.3 LOPD, que se refiere al “consentimiento para la comunicación de los datos de carácter personal a un tercero” puesto que, en el caso de los datos a los que accede un tercero contratado por VIESGO, el acceso sería idéntico al que podría hacer VIESGO, en su condición de titular y responsable del fichero en el que constan aquellos datos, sin que pueda hablarse de “comunicación” o cesión. Así, señala expresamente el apartado 1 del artículo 12 LOPD que “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. En efecto, no hay comunicación de datos a tercero; sólo acceso a los datos por ese tercero para prestaros un servicio en base a un contrato que cumple los requisitos previstos en el artículo 12.2 LOPD., por lo que no se precisa (
  6. i)consentimiento del titular de los datos (
  7. ii)ni mayor información al mismo. Tampoco VIESGO ha actuado en contra de lo dispuesto en el artículo 45 del Reglamento LOPD ya que los datos se recogen para formalizar el contrato y permitir que el mismo tenga plena eficacia, sin que se recopilen datos para vender (tal y como exige aquel precepto legal) ya que la venta de los servicios se presume hecha en un momento previo, como es el de la oferta, por lo que carece de sentido que en la Condición General 1 5 del Contrato de suministro se diga expresamente que consiente dar los datos para que se formalice el contrato. Es evidente que los datos se incluyen en el contrato para la firma y formalización del mismo. En consecuencia, VIESGO no tiene dudas de que la información proporcionada a sus clientes en el contrato (Condición General 15) en relación con las personas que pueden tener acceso a sus datos personales y con los sectores en los que éstas últimas desarrollan su actividad, es completa y suficiente ya que dichas personas y finalidades en ningún caso desbordan el ámbito de relación recogido en el propio contrato, lo que permite al afectado conocer sin que haya lugar a dudas aquellas ofertas comerciales que se pueden recibir o que se quieren evitar, según los casos. En definitiva, procede el archivo del presente procedimiento sancionador, anulándose previamente la Resolución frente a la que se presentan estas alegaciones…>> SEXTO: Con fecha 1/12/2015 se inició el período de práctica de pruebas. SÉPTIMO: Con fecha 12/01/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 20.000 € a la denunciada, por la comisión de una infracción del artículo 5, en relación con el artículo 11.3 de la LOPD y 45 del Reglamento de desarrollo de dicha Ley Orgánica, tipificada como leve en el artículo 44.2.
  8. c)de la misma norma. OCTAVO: Con fecha 29/01/2016 de presentación en el Gobierno de Cantabria y de entrada en esta Agencia 5/02/2016 el denunciado realizó alegaciones frente a la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 propuesta de resolución en las que comunica: <<…A pesar de lo expuesto en la precedente alegación, lo cierto es que VIESGO ha considerado necesario, a la vista de las dudas suscitadas ante la Agencia, introducir mejoras en sus contratos de suministro para que la información facilitada al cliente sobre el tratamiento de sus datos sea lo más concisa posible, garantizando así también el pleno conocimiento por parte de éste último de las condiciones en las que otorga su consentimiento y de las finalidades incluidas en el mismo (…) Ahora bien, hemos hecho mención en los nuevos modelos de contrato que VIESGO firma con sus clientes al tipo de servicios que pueden ofertar las personas o entidades integradas en la red de ventas de VIESGO y que, en todo caso, serán “servicios de valor añadido al energético, relacionados con el mismo, incluidos seguros”. También hemos aclarado que las empresas del Grupo Viesgo a las que la comercializadora pudiera “transferir” datos son las que se especifican en la página web (htp://viesgo.com/es/empresa), las cuales prestan los servicios que también se detallan en la misma página. La remisión a la web ha sido necesaria por problemas de espacio en el contrato, evitando así que otras condiciones del mismo, también importantes para el consumidor, queden “ilegibles”. Adjuntamos al presente escrito una copia de cada uno de los modelos de contrato, según los tipos de cliente, siendo las referidas modificaciones idénticas en todos los que emplea esta Sociedad. En consecuencia, puede fácilmente comprobarse cómo VIESGO ha mejorado sustancialmente (y ampliado) la información proporcionada a sus clientes en el contrato (Condición General relativa a Protección de Datos Personales) en relación con las personas que pueden tener acceso a sus datos personales y con los sectores en los que éstas últimas desarrollan su actividad, siendo ahora aún más completa permitiendo al consumidor afectado conocer aquellas ofertas comerciales que se pueden recibir o que se quieren evitar según los casos. Asimismo, VIESGO ha procedido a hacer más visibles y legibles las casillas del contrato por las que se permite al cliente denegar expresamente (
  9. i)el tratamiento y la utilización de sus datos para finalidades que no guardan relación directa con la ejecución del contrato de suministro celebrado (esto es, con fines informativos y comerciales) y/o (
  10. u)la cesión de sus datos personales a otras empresas del Grupo Viesgo. Tal y como puede leerse en los modelos de contrato que se adjuntan, las casillas de denegación han sido sacadas de la densa tipografía de la cláusula general, para llevarlas a una más fácil localización visual en el contrato: las condiciones particulares del mismo. En definitiva, atendiendo a la desaparición en el momento actual de unas circunstancias que ese Organismo consideraba agravantes de la sanción, procedería imponerla ahora en su grado mínimo (900 euros), observando así plenamente el principio de proporcionalidad (artículo 131.3 de LRJPAC) y lo dispuesto en el artículo 45.1 LOPD, que no determina un importe mínimo…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 HECHOS PROBADOS PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del denunciante comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual que utilizan en su actividad comercial con consumidores las siguiente cinco comercializadoras: (…) • E.ON Comercializadora de Último Recurso, S.L. (actualmente denominada Viesgo Comercializadora de Referencia, S.L.) (en lo sucesivo el denunciado) (…) En Anexo a este escrito se detallan las presuntas irregularidades, en materia de protección de datos, detectadas en la respectiva política de privacidad de las cinco empresas, y se adjunta también la documentación contractual que contiene las cláusulas cuestionadas. Las irregularidades detectadas consisten esencialmente en que no queda acreditado que, en el momento de la recogida de los datos de carácter personal, las empresas cumplan las obligaciones que les incumben en relación con la solicitud del consentimiento del afectado para el tratamiento y comunicación de aquellos con finalidades ajenas a la estricta ejecución del contrato suscrito…>> ANEXO Irregularidades detectadas en materia de Protección de Datos en la documentación contractual utilizada por comercializadores de referencia (energía eléctrica y gas) CLÁUSULA (Comunicaciones comerciales y cesión de datos) “Salvo manifestación en contrario en este documento o en cualquier momento posterior, el titular de los datos personales consignados consiente que éstos puedan ser utilizados por el Comercializador con el fin de enviarle información sobre sus actividades y servicios, además de la cesión a otras sociedades del Grupo de éste…con fines informativos relacionados con los servicios que C/ Jorge Juan, 6 28001 – Madrid COMENTARIO El art. 15, segundo párrafo del Reglamento de la LOPD determina que se entenderá cumplido el deber empresarial de permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos para finalidades extracontractuales cuando le ofrezca la posibilidad de marcar al efecto “una casilla claramente visible”. Las dos casillas establecidas por esta empresa para que el afectado pueda mostrar su negativa expresa a que sus datos sean tratados o comunicados para finalidades que no guardan relación www.agpd.es sedeagpd.gob.es 7/13 prestan, así como a las personas o entidades integradas en la red de ventas del Comercializados en relación con la oferta o prestación de sus servicios [...] Marcando la casilla: □ Deniego la utilización de los datos por el Comercializador con fines informativos y comerciales. □ Deniego que los datos personales sean cedidos a todas las empresas del Grupo E. ON España” (condición general 15). (folios 1 a 3 y10 a 15). directa con la ejecución del contrato suscrito no reúnen el requisito de clara visibilidad que exige el precepto indicado, ya que se incluyen de modo indiferenciado en la densa tipografía utilizada a lo largo de las tres páginas de condiciones generales del contrato de suministro de energía eléctrica. SEGUNDO: El denunciado durante la tramitación del presente procedimiento ha comunicado que: <<….No obstante, lo cierto es que las cesiones de datos realizadas por VIESGO no pueden considerarse “comunicaciones de datos”, en el sentido que las mismas se recogen en el artículo 11 de la LOPD, puesto que, en ningún caso dichas cesiones de información se realizan si no es bajo el amparo del art. 12 de la LOPD (Accesos a datos por cuenta de terceros). Por ello, todas las cesiones de datos que se realizan por parte de VIESGO bien con las propias empresas del grupo, bien con terceras empresas, vienen motivadas por la realización de prestaciones de servicios convenientemente reguladas, mediante la suscripción de acuerdos de colaboración entre las propias empresas del grupo, o mediante contratos explícitos con las empresas externas subcontratadas. En consecuencia, de facto, no puede considerarse infringido el artículo 11.3 LOPD, que se refiere al “consentimiento para la comunicación de los datos de carácter personal a un tercero” puesto que, en el caso de los datos a los que accede un tercero contratado por VIESGO, el acceso sería idéntico al que podría hacer VIESGO, en su condición de titular y responsable del fichero en el que constan aquellos datos, sin que pueda hablarse de “comunicación” o cesión. Así, señala expresamente el apartado 1 del artículo 12 LOPD que “No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. En efecto, no hay comunicación de datos a tercero; sólo acceso a los datos por ese tercero para prestaros un servicio en base a un contrato que cumple los requisitos previstos en el artículo 12.2 LOPD., por lo que no se precisa (
  11. i)consentimiento del titular de los datos (
  12. ii)ni mayor información al mismo…>> (folios 56 y 57). FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  14. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  15. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  16. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  17. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  18. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  19. c)y
  20. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, el denunciado debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
  21. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. III En el caso que nos ocupa se ha podido comprobar que el denunciado incumplía lo dispuesto en el artículo 5 LOPD, en relación con el artículo 11.3 de la LOPD y 45.1.
  22. b)del RD 1720/2007, en la medida en que disponía de formularios de recogidas de datos en los que se ofrecía una información en materia de protección de datos que no se ajustaba a las previsiones normativas reseñadas a la fecha en que fue recibida la denuncia en esta Agencia. No obstante el denunciado ha remitido durante la tramitación del procedimiento copia de los modelos actuales de contrato, alegando y acreditando que: <<…Asimismo, VIESGO ha procedido a hacer más visibles y legibles las casillas del contrato por las que se permite al cliente denegar expresamente (
  23. i)el tratamiento y la utilización de sus datos para finalidades que no guardan relación directa con la ejecución del contrato de suministro celebrado (esto es, con fines informativos y comerciales) y/o (
  24. u)la cesión de sus datos personales a otras empresas del Grupo Viesgo. Tal y como puede leerse en los modelos de contrato que se adjuntan, las casillas de denegación han sido sacadas de la densa tipografía de la cláusula general, para llevarlas a una más fácil localización visual en el contrato: las condiciones particulares del mismo…>> IV El artículo 44.2.
  25. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, el denunciado recababa datos personales sin facilitar a sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 titulares la información que señala el artículo 5 en relación con el artículo 11.3 de la LOPD y 45 del Reglamento de desarrollo de dicha Ley Orgánica, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  26. a)El carácter continuado de la infracción.
  27. b)El volumen de los tratamientos efectuados.
  28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  29. d)El volumen de negocio o actividad del infractor.
  30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. f)El grado de intencionalidad.
  32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y que ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, subsanando las deficiencias de su cláusula informativa con especial diligencia, procede la imposición de una multa por importe de 5.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VIESGO COMERCIALIZADORA DE REFERENCIA, S.L., por una infracción del artículo 5, en relación con el artículo 11.3 de la LOPD y 45 del Reglamento de desarrollo de dicha Ley Orgánica tipificada como leve en el artículo 44.2.
  36. c)de la LOPD, una multa 5.000 € (cinco mil euros), de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución a VIESGO COMERCIALIZADORA DE REFERENCIA, S.L. y al INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.