1/14 Procedimiento Nº PS/00542/2017 RESOLUCIÓN: R/00660/2018 En el procedimiento sancionador PS/00542/2017, instruido por la Agencia Española de Protección de Datos a la entidad PROCTER & GAMBLE ESPAÑA, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20/04/2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la entidad Procter & Gamble España, S.A. (en lo sucesivo PROCTER & GAMBLE) por informar que los datos personales que recaba a través de formularios insertados en su página web pueden ser cedidos, sin ofrecer ningún mecanismo para oponerse a esta cesión. Aporta impresiones de pantalla relativas a un formulario mediante el que se recaban datos personales relativos a nombre, apellidos y dirección, en cuyo pie se incluye la leyenda informativa que consta reseñada en el Hecho Probado Segundo. Dicho formulario incluye, asimismo, una casilla que el usuario puede marcar, con la leyenda “¡SI! quiero recibir comunicaciones comerciales electrónicas de Dodot así como de otras marcas de confianza de Procter & Gamble”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos llevó a cabo las comprobaciones siguientes: 1. El denunciante, en respuesta al requerimiento que le fue efectuado por la Subdirección General de Inspección de Datos, informó que la URL a la que se refiere su denuncia es ***URL.1. 2. Con fecha 29/05/2017, por la Subdirección General de Inspección de Datos se obtuvo copia impresa de la información alojada en el sitio web “***URL.2”. La citada información contiene el siguiente literal: “Si tienes problemas con esta promoción, por favor, pincha aquí”. También ofrece la posibilidad, mediante enlaces, de Iniciar sesión o registrarse. El enlace “pincha aquí” conduce a una página que contiene el Aviso legal y que permite seleccionar el motivo de la consulta, entre ellos: “problemas para darse de alta en la web” y “cancelación/modificación/rectificación/oposición datos personales”. Asimismo contiene un enlace con el siguiente literal: “Haga click aquí para obtener los detalles completos de nuestra notificación de privacidad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 A través del citado enlace se accede al documento denominado “Aviso de privacidad P&G”, cuyos detalles principales, a los efectos del presente procedimiento, constan detallados en el Hecho Probado Tercero. Por otro lado si se selecciona la opción inicial “Regístrate”, el enlace dirige a un formulario en el que se indica: ”Sí quiero recibir comunicaciones comerciales electrónicas de Dodot así como de otras marcas de confianza de Protecter & Gamble … Asimismo sus datos podrán ser utilizados para realizar estudios de mercado y enviarle información relativa a terceras empresas relacionadas con los sectores …” Asimismo recoge la siguiente información: “Haga clic aquí para obtener información detallada de nuestra Declaración de privacidad”. Este enlace dirige al citado documento “Aviso de privacidad P&G”. TERCERO: Con fecha 08/11/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a PROCTER & GAMBLE, por la presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 11 de la misma norma y 45 de su Reglamento de desarrollo, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 5 de la LOPD sería de 20.000 euros (veinte mil trescientos euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, la entidad PROCTER & GAMBLE presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves, conforme a las consideraciones siguientes: . El “Aviso de privacidad de P&G”, que es accesible permanentemente desde que los usuarios acceden a la web y, particularmente, desde el formulario de “Registro”, contiene información estructurada en una tabla, entre la que se incluye la relativa a las finalidades para las que se cederán los datos personales de los usuarios a las empresas del Grupo. Así, en el apartado “Alcance” se observa que se trata de una política global de privacidad que describe los tratamientos de datos personales que realizan tanto PROCTER & GAMBLE como las filiales y subsidiarias, quedando así descritas las finalidades con las que se comunicarán los datos. En particular, el “Apartado Usos/Intercambio de información” especifica las finalidades con las que cualquiera de las empresas del Grupo puede tratar los datos personales de los interesados: “P&G utiliza la información con fines empresariales, tales como: . Proporcionarle los productos y servicios que solicita. . Informarle sobre los productos y servicios de P&G, así como los que ofrecen nuestros socios comerciales, cuidadosamente seleccionados. . Para gestionar nuestros sitios web y nuestros servicios”. Sobre las actividades de las empresas del Grupo P&G, señala que cualquier usuario de la web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 o consumidor medio conoce el sector de actividad del Grupo, cuyas marcas gozan de una gran reconocimiento en el mercado. Y añade que, además, la web facilita por diversas vías información sobre la identidad de dichas empresas. El mismo “Aviso de privacidad” contiene un enlace en su primer apartado “Alcance” con la expresión “compañía de Procter & Gamble”, que redirige al sitio web http://es.pg.com/, que contiene en su sección de contacto una función de búsqueda que permite identificar a cada una de las empresas del Grupo (seleccionando el país de interés se muestra la denominación y domicilio de la empresa correspondiente). También se accede a esta información desde el enlace “Contac US” situado en la parte inferior del “Aviso” y desde la sección contenida en éste “Cómo ponerse en contacto con nosotros”, el cual conduce igualmente a una página con la misma función de búsqueda indicada. A este respecto, cita la Sentencia de la Audiencia Nacional de 30/01/2013, en la que se declara que “para cumplir el citado deber de información no es necesario que se reseñen en los citados documentos los variados sectores o actividades a que se dedican las empresas del grupo XXX, sino que bastará con una remisión a una página web que informe de las empresas del grupo XXX”. Y la propia Agencia se ha pronunciado de manera similar en la resolución R/03028/2016. . En cuanto a la posibilidad de ofrecer información sobre productos y servicios de “socios comerciales” sin informar sobre los sectores de actividad a los que se referirá la publicidad, alega PROCTER & GAMBLE que esta información se encuentra perfectamente detallada en la web denunciada. La Agencia no ha tenido en cuenta la información que con carácter previo se facilita a los usuarios de la web en el formulario de “Registro”, que consta detallada en el Acuerdo de Apertura (“Asimismo, sus datos podrán ser utilizados para realizar estudios de mercado y enviarle información relativa a terceras empresas relacionadas con los sectores de telecomunicaciones, ocio y gran consumo”). Los “socios comerciales” no dejan de ostentar la condición de “terceros”. En definitiva, de la información facilitada al pie del formulario de “Registro” y en el “Aviso de privacidad” al que dicha información redirige, se desprende de manera clara, precisa e inequívoca la finalidad con la que van a ser tratados los datos de los usuarios y se especifican los sectores concretos sobre los que podrán recibir información. . Con carácter subsidiario, invoca el principio de proporcionalidad en relación con la graduación de la multa, y manifiesta al respecto que no ha compartido ni comparte información de los usuarios con otras empresas del Grupo (ni tampoco transferencias internacionales), no ha enviado ni envía información sobre productos y servicios de terceros y ha decidido modificar el texto informativo que figura al pie del formulario de “Registro” sustituyéndolo por el que consta reseñado en el Hecho Probado Cuarto. En consideración a lo expuesto, solicita la imposición de una muta por el importe mínimo previsto para las infracciones leves. Asimismo, alega que los hechos puestos de manifiesto acreditan la ausencia de intencionalidad, que no se ha producido perjuicio alguno a los interesados ni se ha obtenido beneficio alguno como consecuencia de la supuesta infracción. QUINTO: Con fecha 28/02/2018, por el instructor del procedimiento se accedió al sitio web dodot.es/registro comprobando que incluye la leyenda informativa reseñada por PROCTER & C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 GAMBLE en su escrito de alegaciones. SEXTO: Con fecha 15/03/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad PROCTER & GAMBLE, por una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa de 5.000 euros (cinco mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. SEPTIMO: Con fecha 04/04/2018, se recibió escrito de la entidad PROCTER & GAMBLE en el que reitera sus alegaciones anteriores y solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo previsto para las infracciones leves, conforme a las consideraciones siguientes: . Un usuario medio puede entender que el término “socio comercial” se refiere a una tercera empresa con la que se mantiene una relación comercial. En consecuencia, habiendo informado al usuario sobre los sectores específicos y concretos de las terceras empresas con las que podría compartir sus datos personales, es fácilmente entendible que los socios comerciales (que no son más que una subcategoría de terceras empresas) pertenecerán a los mismos sectores de actividad. Estos términos son simplemente dos maneras diferentes de denominar las relaciones que PROCTER & GAMBLE podría mantener con terceros. Por otro lado, en nada contradice esta argumentación el hecho de que ambas informaciones se ofrezcan por separado. Se trata de una información de segunda capa que amplía la información de la primera, evidenciándose dicha relación para los usuarios mediante la siguiente expresión: “Haga click aquí para ver los detalles completos de nuestra Declaración de Privacidad”. Lo contrario supone hacer una lectura asilada de ambas informaciones, como si se tratase de dos documentos independientes que no guardan relación alguna. . Debe imponerse en grado mínimo a la vista de los siguientes hechos: i. Han quedado sin objeto los reparos advertidos en la apertura del citado procedimiento sobre la falta de información de las finalidades para las que se cederían los datos a entidades del grupo y los sectores de actividad de las mismas. ii. Los hechos en los que se fundamente la infracción no son más que una mera cuestión interpretativa o terminológica de escasa o mínima gravedad. iii. Se ha regularizado la supuesta situación irregular nada más notificarle la incoación del presente Procedimiento Sancionador, de conformidad con el art. 45.5
- b)LOPD. iv. El hecho de que no haya realizado ni tenga previsto realizar ninguna acción publicitaria relacionada con sus socios comerciales debe ser considerado como un factor relevante en la graduación de la sanción. En concordancia con la profusa jurisprudencia relativa a la necesaria proporcionalidad de las sanciones y teniendo en cuenta las circunstancias concurrentes en el caso, no puede vulnerarse uno de los principios básicos del procedimiento sancionador, cual es, el principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 HECHOS PROBADOS 1. La entidad PROCTER & GAMBLE es titular de la web “www.dodot.es”. 2. Con fecha 29/05/2017, por la Subdirección General de Inspección de Datos se comprueba que la web “www.dodot.es” tiene dispone de un formulario de recogida da datos personales, habilitado como formulario de “Registro” que incluye la siguiente leyenda informativa en materia de protección de datos de carácter: “Sus datos serán incorporados al fichero automatizado de PROCTER & GAMBLE ESPAÑA, S.A. para informarle y pedir su opinión sobre ofertas, productos, y servicios de sus marcas a través de cualquier medio, incluso e-mail o SMS. Asimismo, sus datos podrán ser utilizados para realizar estudios de mercado y enviarle información relativa a terceras empresas relacionadas con los sectores de telecomunicaciones, ocio y gran consumo. Por otro lado, sus datos podrán ser comunicados a otras entidades del grupo de empresas Procter & Gamble, situadas tanto en la Unión Europea como fuera de ella (como en los EEUU). Todos los datos aquí pedidos son obligatorios de forma que la omisión de alguno de ellos puede comportar la imposibilidad de su registro o participación. De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, si desea acceder a sus datos, rectificarlos, cancelarlos, oponerse a su tratamiento o que los mismos no sean utilizados para ofrecerle información de terceras empresas, diríjase a PROCTER & GAMBLE ESPAÑA, S.A. (Departamento de Promociones) en la Avenida de… La confianza es el fundamento de nuestra misión corporativa y el éxito de nuestro negocio depende de ella. P&G se compromete a mantener su confianza protegiendo la información que recopilamos sobre ustedes, nuestros consumidores. Haga click aquí para ver los detalles completos de nuestra Declaración de Privacidad”. Dicho formulario incluye, asimismo, una casilla que el usuario puede marcar, con la leyenda “¡SI! quiero recibir comunicaciones comerciales electrónicas de Dodot así como de otras marcas de confianza de Procter & Gamble”. 3. El enlace insertado en la indicación “Haga click aquí para ver los detalles completos de nuestra Declaración de Privacidad” dirige al documento denominado “Aviso de privacidad P&G”, el cual contiene información estructurada en una tabla, que informa, en el apartado “sus posibilidades”, que “puede dejar de recibir mensajes promocionales de P&G por correo postal o electrónico siguiendo las instrucciones de cancelación incluidas en dichos mensajes o a través de la política de privacidad. Haga clic aquí para seleccionar su país y obtener información sobre cómo cancelar la suscripción” (al seleccionar España la web muestra un domicilio postal de Procter &Gamble España, S.A. y un enlace para remitir un “email”). En este “Aviso de privacidad P&G” también se informa lo siguiente: “La Política Global de Privacidad… se aplica a la información obtenida y utilizada por la compañía Procter & Gamble así como sus filiales y subsidiarias… Usos/Intercambio de información P&G utiliza la información recogida con fines empresariales, tales como: . Informarle sobre los productos y servicios de P&G, así como los que ofrecen nuestros socios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 comerciales, cuidadosamente seleccionados… Es posible que compartamos tu información personal: . Con nuestros socios comerciales cuidadosamente seleccionados para realizar copromociones u otros programas conjuntos, pero sólo si nos da su consentimiento... . Con proveedores externos de servicios que trabajen en nombre de P&G y con nuestros socios comerciales para enviarle comunicaciones conjuntas que esperamos resulten de su interés...” 4. Según la información aportada por PROCTER & GAMBLE con su escrito de alegaciones a la apertura del procedimiento, dicha entidad ha sustituido la leyenda informativa insertada en el formulario de “Registro” por la siguiente: “Deseo registrarme como usuario/a de Dodot y otras marcas de Procter & Gamble España, S.A. Sus datos serán incorporados al fichero automatizado de PROCTER & GAMBLE ESPAÑA, S.A. para informarle y pedirle opinión sobre ofertas, productos y servicios de sus marcas a través de cualquier medio, incluso e-mail o SMS. Asimismo sus datos podrán ser utilizados para realizar estudios de mercado y enviarle información relativa a nuestros socios comerciales u otras terceras empresas relacionadas con los sectores de telecomunicaciones, ocio y gran consumo. Por otro lado, sus datos podrán ser comunicados a otras entidades del grupo de empresas Procter & Gamble, todas ellas del sector de gran consumo, situados tanto en la Unión Europea como fuera de ella (como en los EEUU), para las mismas finalidades. Todos los datos aquí pedidos son obligatorios de forma que la omisión de alguno de ellos puede comportar la imposibilidad de su registro o participación. De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, si desea acceder a sus datos, rectificarlos, cancelarlos, oponerse a su tratamiento o que los mismos no sean utilizados para ofrecerle información de terceras empresas, diríjase a PROCTER & GAMBLE ESPAÑA, S.A. (Departamento de Promociones) en la Avenida… Haga clic aquí para obtener información detallada sobre nuestra Declaración de Privacidad”. 5. Con fecha 28/02/2018, por el instructor del procedimiento se accedió al sitio web dodot.es/registro comprobando que incluye la leyenda informativa reseñada en el Hecho Probado Cuarto. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada PROCTER & GAMBLE una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado del que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad PROCTER & GAMBLE debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. La misma previsión se establece en relación con la comunicación de datos a otras entidades en el artículo 11.3 de la misma Ley Orgánica, según el cual: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. III El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad PROCTER & GAMBLE facilitaba a clientes y usuarios de su web “www.dodot.es” mediante la Política de Privacidad insertada en la misma en el momento en que se formuló la denuncia y la accedida por la Subdirección General de Inspección de Datos, así como a través de la leyenda informativa que figuraba en el formulario de “Registro” habilitado para la recogida de datos personales en la misma web. En este caso, se pudo comprobar que la entidad PROCTER & GAMBLE incumplía lo dispuesto en el artículo 5 LOPD, en relación con el artículo 11.3 de la misma norma, y artículo 45 del Reglamento de desarrollo de la LOPD, en la medida en que dispone de formularios de recogidas de datos personales a través de su web, en la que ofrece una información en materia de protección de datos que no se ajusta a las previsiones normativas reseñadas. En concreto, en el acuerdo de apertura del presente procedimiento se imputó la vulneración de dicho precepto por cuanto la citada entidad, a través de la web “www.dodot.es” recababa el consentimiento de los afectados para ceder sus datos personales a otras empresas del grupo Protec & Gamble sin informar sobre las finalidades para las que se cedían los datos a estas empresas ni las actividades de las mismas; o para ofrecer información sobre productos y servicios de “socios comerciales”, sin informar sobre los sectores de actividad a los que se referirá dicha publicidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Sin embargo, consta expresamente en el “Aviso de privacidad” que el mismo se aplica a a la información obtenida y utilizada por las filiales y subsidiarias de PROCTER & GAMBLE y que en dicha declaración se informa sobre las finalidades y usos a los que se destinan los datos personales. Por tanto, aunque en la leyenda informativa incluida en el formulario de “Registro” a la que se refiere la denuncia únicamente especificaba que los datos del usuario podrían ser comunicados a otras entidades del grupo de empresas Procter & Gamble, se entiende que con la información facilitada al respecto en el “Aviso de privacidad” se da cumplimiento a aquella exigencia establecida en los preceptos citados, que obliga a informar sobre la finalidad para la que se comunicarán los datos. Asimismo, se considera que en la misma leyenda informativa, con la indicación “Haga click aquí para ver los detalles completos de nuestra Declaración de Privacidad, se incluía un enlace que conducía directamente al “Aviso de Privacidad”. También consta que el repetido “Aviso” incluía enlaces mediante los que se accede a la identidad de las empresas que, en cada país, integran el Grupo. Por lo tanto, deben quedar sin objeto los reparos advertidos en la apertura del procedimiento sobre la falta de información de las finalidades para las que se cederían los datos a entidades del grupo y los sectores de actividad de las mismas Sin embargo, dicha apertura estuvo también motivada por solicitar a los usuarios de la web su consentimiento para ofrecer información promocional o publicitaria de “socios comerciales”, sin informar sobre los sectores de actividad a los que se referirá dicha publicidad. En concreto, en el “Aviso de privacidad” se declara que “es posible que compartamos tu información personal: Con nuestros socios comerciales cuidadosamente seleccionados para realizar copromociones u otros programas conjuntos”. En relación con los “socios comerciales” se solicita el consentimiento para la utilización de los datos personales con una finalidad comercial, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad, en contra de lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
- a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
- h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. Por otra parte, no puede admitirse la alegación formulada por PROCTER & GAMBLE para salvar este último reparo apreciado en el cumplimiento del deber de información, según la cual la información sobre los sectores de actividad a los que podrá referirse la publicidad se ofrece en la leyenda informativa insertada en la página correspondiente al formulario de “Registro”, en la que se indica que los datos podrán ser utilizados para “enviarle información relativa a terceras empresas relacionadas con los sectores de telecomunicaciones, ocio y gran consumo”. A juicio de esta Agencia, se trata de informaciones cuyo contenido no coincide, que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 ofrecen por separado, sin ningún elemento que permita a un usuario relacionar ambas de forma inequívoca. Lo razonable para un usuario medio es pensar que PROCTER & GAMBLE se refiere a empresas distintas cuando emplea los términos “terceras empresas” y “socios comerciales”. La citada entidad, en su escrito de alegaciones a la propuesta, insiste en señalar que la información que se facilita sobre los sectores de actividad de las terceras empresas engloba a los “socios comerciales”, reiterando que se trata de una mera cuestión interpretativa o terminológica. Pero no considera PROCTER & GAMBLE el requisito que se impone a la información que deberá facilitarse a los interesados, antes expresado, según el cual la información deberá ser inequívoca para que el consentimiento sea válido. El artículo 3.
- h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, de lo cual se desprende la necesaria concurrencia para que el consentimiento pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. A este respecto, procede destacar que la deficiencia señalada anteriormente han sido regularizada por PROCTER & GAMBLE durante la tramitación del procedimiento con la nueva leyenda informativa insertada en su web, en la que indica expresamente que los datos “podrán ser utilizados para… enviarle información relativa a nuestros socios comerciales u otras terceras empresas relacionadas con los sectores de telecomunicaciones, ocio y gran consumo”. Aunque ello no exonera de responsabilidad por la infracción que se declara, ya consumada en el momento de la apertura. Se tiene en cuenta, en cambio, para la graduación de la sanción. Finalmente, se estima conveniente destacar que, aunque la denuncia se refería a la ausencia de un mecanismo válido para oponerse a la cesión de los datos, esta circunstancia no fue determinante de la apertura del procedimiento sancionador, por cuanto el “Aviso de privacidad P&G”, en el apartado “sus posibilidades”, informaba al usuario que “puede dejar de recibir mensajes promocionales de P&G por correo postal o electrónico siguiendo las instrucciones de cancelación incluidas en dichos mensajes o a través de la política de privacidad. Haga clic aquí para seleccionar su país y obtener información sobre cómo cancelar la suscripción” (al seleccionar España la web muestra un domicilio postal de Procter &Gamble España, S.A. y un enlace para remitir un “email”). La posibilidad de remitir un correo electrónico a una dirección habilitada al efecto, en un supuesto de recogida de datos personales a través de una web, constituye un mecanismo válido en relación con lo establecido en el artículo 15 del Reglamento de desarrollo de la LOPD. IV El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad PROCTER & GAMBLE ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD y su normativa de desarrollo, por lo que debe considerarse que ha incurrido en la infracción leve descrita. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 concreto, informó a los usuarios registrados en su web que utilizaría sus datos para el envío de publicidad de socios comerciales sin informar sobre los sectores de actividad a los que se referiría la misma. V El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, por un lado, el volumen de negocio o actividad de la entidad imputada y la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos y que operan a través de internet; y por otro lado, que las circunstancias que determinaron la apertura del procedimiento se han concretado únicamente en la falta de información sobre los sectores de actividad a los que podría referirse la publicidad de los “socios comerciales” de PROCTER & GAMBLE y que esta entidad ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de esta exigencia. Teniendo en cuenta los criterios de graduación expresados, se determina el importe de la sanción en la cuantía de 5.000 euros por la infracción cometida. No se tiene en cuenta las alegaciones formuladas por PROCTER & GAMBLE para que se imponga una sanción en la cuantía mínima prevista, según las cuales no ha realizado ninguna publicidad de socios comerciales ni tiene previsto realizarla, por cuanto esta circunstancia no puede incidir en el presente caso, referido al incumplimiento del deber de información. De haber llevado a cabo algún tratamiento de datos con aquella finalidad la infracción imputada hubiese sido otra de distinta naturaleza. En las alegaciones formuladas por PROCTER & GAMBLE a la propuesta de resolución solicita que se imponga una sanción por el importe mínimo previsto para las infracciones leves C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 considerando, además de lo expuesto en el párrafo anterior, que ya ha regularizado la leyenda informativa y que algunos de los reparos que determinaron la apertura del procedimiento han quedado sin objeto. Sin embargo, no tiene en cuenta que la regularización llevada a cabo ya ha sido objeto de la oportuna valoración, y que precisamente en atención a la minoración de las circunstancias constitutivas de infracción, se ha modificado la graduación realizada en el acuerdo de apertura del presente procedimiento, en el cual se determinó la imposición de una multa por importe de 20.000, ahora establecida en 5.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PROCTER & GAMBLE ESPAÑA, S.A. con NIF B.B.B., por una infracción del artículo 5.1 de la LOPD de la LOPD, tipificada como Leve en el artículo 44.2.
- c)de la LOPD, una multa de 5.000 euros (cinco mil euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad PROCTER & GAMBLE ESPAÑA, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es