1/9 Procedimiento Nº PS/00657/2015 RESOLUCIÓN: R/01319/2016 En el procedimiento sancionador PS/00657/2015, instruido por la Agencia Española de Protección de Datos a la entidad COBITRATEL, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 18/02/2015 tuvo entrada en esta agencia una denuncia de D. A.A.A. (en lo sucesivo el denunciante) contra COBITRATEL, S.L. (en lo sucesivo la denunciada) por irregularidades en la cláusula informativa mostrada con la adquisición de un terminal móvil en su establecimiento. Aporta copia de factura de 16/01/2015 con logo de “Distribuidor Oficial de MOVISTAR” El producto adquirido es un terminal móvil en el que figura un descuento por “aportación terminal”. En la cláusula informativa se contiene: Mediante la recepción del presente documento: 1 .- El cliente queda informado y consiente expresamente la incorporación de sus datos de carácter personal en un fichero titularidad de COBITRATEL S.L. con la finalidad de gestionar la venta de los productos y/o servicios comercializados por Movistar o por esta entidad, así como su utilización por cualquier medio con finalidades comerciales sobre productos y/o servicios comercializados por su parte o de cualquier empresa del Grupo Telefónica en su condición de agente y/o distribuidor del mismo. Asimismo, el cliente consiente la cesión de sus datos a Telefónica de España SAU y/o Telefónica Móviles España SAU. . COBITRATEL S.L. como responsable del fichero garantiza la adopción de las medidas de seguridad necesarias para garantizar el tratamiento confidencial de dichos datos e informa al cliente que puede ejercer sus derechos de acceso, rectificación, cancelación y oposición mediante escrito dirigido a COBITRATEL S.L. en la calle…. Ref: A/R/C/O.” SEGUNDO: Con fecha 14/12/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COBITRATEL SL por una infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el 11.3 de la LOPD y 15 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), tipificada como leve en el artículo 44.2.
- c)de dicha norma. TERCERO: Notificado el acuerdo de inicio, mediante escrito de fecha 20/01/2016, la denunciada reconoce su responsabilidad y añade que debe ser tenido en cuenta para la aplicación del artículo 45.4 de la LOPD que no se obtuvieron beneficios, falta de intencionalidad. Añade que si bien se informa al cliente que podrá recibir publicidad de productos y servicios MOVISTAR, no se indica que los productos o servicios ofertados son del sector telecomunicaciones y tecnologías de la información. Han iniciado los trámites para modificar la cláusula para ajustarse a la norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CUARTO: Se incorpora impresión de la web de página AXEXOR.ES que ofrece información sobre la entidad denunciada, constando que es una pequeña empresa, disponiendo de entre 1 y 50 empleados según se indica. QUINTO: El 6/05/2016 se emitió propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a COBITRATEL, S.L. con multa de 1.800 €, por la infracción del artículo 5.1 de la LOPD, en relación con el 11.3 de la LOPD y 15 del RLOPD tipificada como leve en el artículo 44.2.
- c)de dicha norma.” SEXTO: Con fecha 24/05/2016 efectúa las siguientes alegaciones: 1) Se ha expresado la intención de modificar la cláusula informativa y debido al corto espacio de tiempo entre el acuerdo de apertura y la presentación de alegaciones no se ha implementado totalmente. Anuncia que la cláusula sería: “El cliente queda informado y consiente expresamente la incorporación de sus datos de carácter personal en un fichero titularidad de COBITRATEL SL, con la finalidad de gestionar la venta de los productos/y servicios comercializados por MOVISTAR o por esta entidad así como, salvo que manifieste su oposición en este acto en el punto de venta, que la registrará su utilización por cualquier medio con finalidades comerciales sobre productos y/o servicios del sector de las telecomunicaciones, servicios audiovisuales, y de la sociedad de la información comercializados por su parte o de cualquier empresa del Grupo Telefónica en su condición de Agente y /o Distribuidor del mismo, y la cesión de sus datos a Telefónica de España SAU y/o Telefónica Móviles España SAU con las mismas finalidades indicadas anteriormente.” COBRITATEL como responsable del fichero garantiza la adopción de las medidas de seguridad necesarias para garantizar el tratamiento confidencial de dichos datos e informa al cliente que puede ejercer sus derechos de acceso, rectificación, cancelación y oposición mediante escrito dirigido a COBITRATEL SL en la calle… REf. ARCO 2) En relación a los defectos hallados en la cláusula por la AEPD manifiestan que en la cláusula si se especifica que los productos o servicios que se le podrán ofertar por parte de COBITRATEL serían productos o servicios comercializados por MOVISTAR o por cualquier empresa del GRUPO TELEFÓNICA en su condición de Agente y /o Distribuidor del mismo y no cualquier otro tipo de producto o servicio. Si bien, en el anterior escrito presentado por esta parte se reconoció que no se informaba sobre el sector concreto al que pertenecerían estos productos y servicios, también se señaló que se iba a proceder al cambio de cláusula para adaptarla a las exigencias tal y como se puede observar en la cláusula indicada anteriormente añadiendo el literal “del sector de las telecomunicaciones, servicios audiovisuales y de la Sociedad de la Información”. 3) Se interpreta por la AEPD que la referencia al GRUPO TELEFÓNICA supone una cesión de datos donde no se especifican las empresas del Grupo, si bien esa mención se realiza para concretar los productos y servicios que podrán ser ofrecidos por COBITRATEL. En cuanto a la cesión, en el siguiente párrafo si se concretan las dos empresas para las que se pide el consentimiento que son Telefónica de España y Telefónica Móviles. 4) En cuanto al uso del término “por cualquier medio” como una información genérica que debe ser concretada se trata de una nueva exigencia no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 mencionada en el Acuerdo de inicio, se comprometen a modificarlo lo antes posible cuando incluya la nueva cláusula en el sistema incluyendo el literal “Por cualquier medio, incluidos los medios electrónicos”. Asimismo en cuanto a la mención de que los consentimientos pueden ser revocados en cualquier momento, se incluirá el literal: Asimismo, podrá revocar dicho consentimiento en cualquier momento a través de los medios indicados. 5) Para poder manifestar tanto la oposición al tratamiento de datos del cliente con finalidad comercial como a la cesión de sus datos a TE y a TME se ha incluido la posibilidad de que el cliente pueda manifestarla en el mismo momento que se entrega la factura como “procedimiento equivalente que le permita manifestar su negativa al tratamiento” quedando registrada la oposición al tratamiento con estos fines por parte de COBTRATEL. Así, el cliente manifestará su oposición a la utilización y comunicación de sus datos con estas finalidades no vinculadas con el desarrollo del contrato en el mismo momento que proporciona los mismos. Considerando este un procedimiento equivalente que permitiría manifestar al cliente su negativa al tratamiento con estos fines de igual manera que se realizaría a través de una casilla, toda vez que la recogida de datos es realizada por la relación contractual 6) En la aplicación de la sanción, no se ha tenido en cuenta: a. No se ha obtenido beneficio alguno, el grado de intencionalidad de la infracción, la entidad es una pequeña empresa que ha reconocido la responsabilidad, y el compromiso de subsanación. HECHOS PROBADOS 1) Con fecha 18/02/2015 se recibe del Servicio de Consumo de Castilla la Mancha una del denunciante contra COBITRATEL, S.L. por irregularidades en el contenido de la cláusula informativa mostrada en la factura de 16/01/2015 con motivo de la prestación de un servicio de telefonía móvil en dicho establecimiento. Aporta copia de factura con logo de COBITRATEL “Distribuidor Oficial de MOVISTAR”. El producto adquirido es un terminal móvil en el que figura un descuento por “aportación terminal”. En la cláusula informativa se lee: Mediante la recepción del presente documento: 1 .- El cliente queda informado y consiente expresamente la incorporación de sus datos de carácter personal en un fichero titularidad de COBITRATEL S.L. con la finalidad de gestionar la venta de los productos y/o servicios comercializados por Movistar o por esta entidad, así como su utilización por cualquier medio con finalidades comerciales sobre productos y/o servicios comercializados por su parte o de cualquier empresa del Grupo Telefónica en su condición de agente y/o distribuidor del mismo. Asimismo, el cliente consiente la cesión de sus datos a Telefónica de España SAU y/o Telefónica Móviles España SAU. . COBITRATEL S.L. como responsable del fichero garantiza la adopción de las medidas de seguridad necesarias para garantizar el tratamiento confidencial de dichos datos e informa al cliente que puede ejercer sus derechos de acceso, rectificación, cancelación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 y oposición mediante escrito dirigido a COBITRATEL S.L. en la calle…. Ref: A/R/C/O.”(1, 4). 2) Según la inscripción de la denunciada en el Registro Mercantil, esta tiene como objeto, el “montaje, instalación, mantenimiento y venta de bienes de telefonía, así como cualquier otra actividad complementaria u otra de lícito comercio que en su día acuerde la Junta General”.
(9)3) No se acredita por la denunciada la efectiva sustitución de la cláusula objeto de la denuncia por una que se adecue a la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El tratamiento de datos viene definido en el artículo 3.
- c)de la LOPD como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, el artículo 5.
- t)del RLOPD, describe el tratamiento de datos como “Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En consecuencia, la recogida de datos personales que va a efectuar la denunciada supone un tratamiento de datos personales, sujeto a los requisitos y obligaciones impuestas por la normativa de protección de datos, con independencia de que se utilicen o no con fines comerciales. Con carácter general, tal y como dispone el artículo 6.1 de la LOPD, “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, y “2. No será preciso el consentimiento cuando los datos de carácter personal……..; se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El consentimiento en este supuesto se entiende incluido por el hecho de entablar una relación comercial, si bien subsiste el deber de informar de ese tratamiento. En relación con el cumplimiento del deber de información, también denominado principio de transparencia en el tratamiento de datos, constituye uno de los pilares esenciales del sistema establecido en la LOPD. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél o de terceras fuentes en virtud de una cesión lícita, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la LOPD. La información al afectado debe producirse en el momento de la recogida de sus datos de carácter personal, y sobre extremos relacionados con el tratamiento. El deber de información al afectado aparece regulado en la LOPD por su artículo 5, cuyo apartado 1, aplicable al supuesto de recogida de datos del propio afectado, como sucedería en este caso, estableciendo: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” En el supuesto que nos ocupa los datos son recogidos directamente del afectado en el momento de acudir a su establecimiento para la prestación del servicio, pretendiéndose además su tratamiento para fines no vinculados directamente con el mantenimiento o desarrollo de la relación, por lo que será de aplicación lo dispuesto en el artículo 15 del RLOPD, que dispone: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.” En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Por otro lado, al destino de los datos para envíos de carácter comercial, le sería de aplicación el artículo 45.1.
- b)del RLOPD, que precisa: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 “1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.” Las consecuencias vienen previstas en el artículo 11.3 de la LOPD, que señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. La cláusula relativa al cumplimiento del deber de información que se le ofrece al denunciante es: 1 .- El cliente queda informado y consiente expresamente la incorporación de sus datos de carácter personal en un fichero titularidad de COBITRATEL S.L. con la finalidad de gestionar la venta de los productos y/o servicios comercializados por Movistar o por esta entidad, así como su utilización por cualquier medio con finalidades comerciales sobre productos y/o servicios comercializados por su parte o de cualquier empresa del Grupo Telefónica en su condición de agente y/o distribuidor del mismo. Asimismo, el cliente consiente la cesión de sus datos a Telefónica de España SAU y/o Telefónica Móviles España SAU. . – En la medida en que los datos van a ser utilizados para fines no vinculados con el cumplimiento y desarrollo del contrato de prestación de servicios, el responsable del tratamiento, la denunciada, deberá recabar el consentimiento libre, inequívoco, específico e informado del usuario del servicio para estos fines, de acuerdo con la regla general del artículo 6.1 de la LOPD, teniendo en cuenta además, que el artículo 4.2 de la LOPD que regula los principios generales de la protección de datos señala que: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles (diferentes) con aquellas para las que los datos hubieran sido recogidos. …”. La citada cláusula adolece de los siguientes defectos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 A-Prevé la utilización de los datos del afectado para un uso no vinculado al desarrollo del contrato, como es remitirle información comercial de productos y servicios que no especifica, que se le ofrecerían tanto por parte de la denunciada como de empresas del Grupo Telefónica, precediendo pues según se deduce una cesión de datos. La referencia a GRUPO TELEFÓNICA presupone antes que nada una cesión de datos que se aclara en la siguiente referencia del punto B. Por otro lado, queda sin especificar los sectores concretos respecto de los que recibirá publicidad. En todo caso, debe existir posibilidad de mostrar la negativa al tratamiento de sus datos con fines ajenos a la relación bilateral objeto del contrato, esto es, a la finalidad comercial que la denunciada ofrece. La referencia a “por cualquier medio” predicada de los datos es genérica y debe ser concretada. Además, al ser una cesión ajena a la relación bilateral entablada, debe existir posibilidad de mostrar la negativa a dicha cesión. B- Sobre la cesión de los datos recabados, tanto en su uso para cualquier medio con finalidad comercial de productos o servicios al GRUPO TELEFONICA como en la adición a: “Asimismo, el cliente consiente la cesión de sus datos a Telefónica de España SAU y/o Telefónica Móviles España SAU, se debe significar que al no derivar de la propia relación bilateral entablada entre las partes, debería contener un apartado que posibilite la oposición a la misma cesión. La cláusula informa al afectado acerca de la existencia de un fichero en el que se enumeran la única finalidad incardinada en la relación bilateral contractual en el párrafo “con la finalidad de gestionar la venta de los productos y/o servicios comercializados por esta entidad”. Como se ha indicado, el tratamiento de los datos para esa finalidad, para el adecuado mantenimiento de la relación contractual, no requerirá del consentimiento del afectado, mientras que en los restantes supuestos tal consentimiento será preciso que se permita “al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos”. Por este motivo, resulta necesario diferenciar en el contenido de la cláusula de ambos supuestos, a fin de que el interesado pueda conocer qué uso efectivo de sus datos va a llevarse a cabo sin contar con su consentimiento y en qué supuestos ese tratamiento dependerá, precisamente, de la prestación de aquél. Por otra parte, en cuanto a la solicitud de consentimiento, debe recordarse que la Agencia Española de Protección de Datos ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1
- a)de la LOPD y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 3
- h)de dicha Ley. III La infracción cometida por la denunciada aparece tipificada en el artículo El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” IV El artículo 45.1, y 4 de la LOPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, considerando, por un lado, la especial diligencia que ha de exigirse a las empresas que en el desarrollo de su actividad realizan tratamientos de datos, que la entidad imputada, que es una pequeña empresa, ha reconocido la infracción, si bien no ha justificado haber llevado a cabo la regularización para el cumplimiento de las exigencias establecidas en la normativa reseñada tras la recepción del acuerdo de Inicio del procedimiento sancionador, se impone una multa por importe de 1.800 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad COBITRATEL, S.L., por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa de 1.800 €, de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a COBITRATEL, S.L., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es