1/14 Procedimiento Nº PS/00669/2015 RESOLUCIÓN: R/01111/2016 En el procedimiento sancionador PS/00669/2015, instruido por la Agencia Española de Protección de Datos a la entidad ATRAPALO, S.L., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo el denunciante) comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa…>> “ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas ATRAPALO, S.L. (en lo sucesivo el denunciado) <<…CLÁUSULA “En virtud de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que sus datos personales quedarán incorporados y serán tratados en los ficheros titularidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 ATRAPALO, S.L., con el fin de poder prestarle el servicio, así- como para mantenerle informado, incluso por medios electrónicos, sobre cuestiones relativas a la actividad de la empresa y sus servicios” (Aviso legal, primer párrafo). “De conformidad con lo dispuesto en el art. 5 de la Ley Orgánica 15/1999 sobre Protección de Datos de Carácter Personal (LOPD), le informamos que sus datos personales formarán parte de un fichero el titular del cual es ATRÁPALO, S.L con la finalidad de realizar comunicaciones informativas y comerciales. Sus datos personales serán tratados con la máxima confidencialidad y con el deber de secreto requeridos. ATRAPALO, S.L. ha adoptado las medidas técnicas y organizativas definidas en el Real Decreto 1720/2007 (Política de privacidad, primer párrafo). “El usuario acepta que los datos personales facilitados en el proceso de compra de nuestros productos sean incorporados a un fichero automatizado, cuya titularidad corresponde a Atrapalo.com, con la finalidad de prestar adecuadamente el servicio solicitado ... así como realizar … comunicaciones comerciales por correo electrónico sobre otros productos que se comercializan a través de la página web de Atrapalo.com y que Atrapalo.com considere que podrían ser del interés del usuario, por ser similares a los contratados” (condición general 4, segundo párrafo)…>> “COMENTARIO” <<…De conformidad con la invocada LOPD, se requiere “el consentimiento inequívoco del afectado” cuando el tratamiento de los datos de carácter personal de éste no afecte a la ejecución del contrato suscrito con la empresa que efectúa la recogida (art. 6, apartados 1 y 2). Este es el caso de la segunda de las finalidades mencionadas en la primera de las cláusulas transcritas, a pesar de lo cual la empresa no recaba el consentimiento previo del titular de los datos que pretende tratar al margen de la ejecución del contrato que ha justificado la recogida de los mismos. La segunda de las cláusulas se contiene en la política de privacidad de la que se informa al usuario mediante ventana emergente en el momento de registrarse en esta web. Si bien en el formulario de registro se incluye una casilla que el usuario debe seleccionar expresamente (“Haz clic aquí si quieres recibir ofertas exclusivas de Atrápalo”), lo cierto es que el contenido de la cláusula vulnera la privacidad del afectado en el caso de que éste no marque de modo expreso la mencionada casilla. Conforme a lo establecido por el art. 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, debe permitirse al afectado que manifieste expresamente su negativa al tratamiento de sus datos para finalidades que no guarden relación directa con el mantenimiento de la relación contractual…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos para crear una cuenta, que según la política de privacidad, es con fines publicitarios. El formulario tiene una casilla para solicitar el envío de ofertas exclusivas del denunciado. No obstante en el Aviso Legal se indica que una finalidad de la recogida de datos es la de realizar comunicaciones informativas y comerciales sin indicar los sectores de actividad respecto de los que se puede recibir publicidad. En las condiciones generales para la contratación se indica que se remitirán comunicaciones comerciales electrónicas sobre productos similares a los contratados pero no existe posibilidad de mostrar la negativa. TERCERO: Con fecha 17 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 15 y 45.1.
- b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, y en relación asimismo del artículo 21.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) considerando que la cláusula informativa contenida en su web no informa de los sectores de actividad sobre los que el afectado puede recibir publicidad, ni ofrece un modo para que el afectado pueda oponerse al envío de comunicaciones comerciales, a través de medios electrónicos. Infracción tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escritos de fecha 7/01/2016 formuló alegaciones, significando que: <<…Respecto al cumplimiento del deber de información previsto en el artículo 5.1 LOPD, creemos conveniente iniciar estas alegaciones manifestando que en el procedimiento sancionador N: E/07947/201 2 instruido por la AEPD, se validó expresamente al aviso informativo utilizado por Atrápalo empleado por la Compañía para la solicitud del consentimiento a sus usuarios para el envío de información comercial (…) Es especialmente relevante dejar constancia de que los fragmentos de las cláusulas que figuran en el segundo folio (2/7) de acuerdo de inicio de procedimiento sancionador remitido a Atrápalo, son incompletos. Dichos fragmentos extraídos de los textos (avisos informativos) que constan en la página web de la Compañía no incluyen la parte del texto en la que se indica el procedimiento establecido por Atrápalo para que el usuario para oponerse al tratamiento de sus datos personales con fines comerciales en el momento de contratar un servicio. En la web de Atrápalo existen básicamente dos tipos de formularios de recogida de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14
- i)Formularios para poder formalizar la venta o reserva de un servicio.
- ii)Formularios cuya finalidad principal es la obtención datos para poder realizar el envío de información comercial de servicios comercializados a través de la web de Atrápalo (…) Por tanto, aunque no se utiliza la fórmula de la casilla “[ ] No deseo recibir comunicaciones comerciales”, sí está definido un procedimiento equivalente para que el usuario pueda manifestar su negativa al tratamiento: el envío de un correo electrónico a info@atrapalo.com (…) Respecto a los formularios cuya finalidad principal es la obtención datos para poder realizar el envío de información comercial de servicios comercializados a través de la web de Atrápalo les informamos que Atrápalo, en su página web, dispone de formularios de recogidas de datos cuya finalidad principal es el registro de los usuarios para poderles enviar información comercial de los productos comercializados por Atrápalo. En estos casos, en el aviso informativo se indica que los datos se recabarán con la finalidad de realizar comunicaciones informativas y comerciales, sin incluir en los mismos, la posibilidad de oponerse a dicho tratamiento de datos. Es el caso, por ejemplo, de alta en la newsletter sería una contradicción solicitar los datos para enviar la newsletter con información comercial y, al mismo tiempo, permitir darse de baja en el momento de suscribirse. Sin embargo, tal y como se menciona en el acuerdo de inicio de procedimiento sancionador, el formulario de “creación de cuenta de Atrápalo” contiene incongruencias: se indica que los datos se utilizarán con fines promocionales y existe una casilla de “[ ] Envíame ofertas exclusivas de Atrápalo.” Para subsanar esta situación, hemos procedido a modificar el formulario de registro de usuario. En concreto, se ha modificado el aviso de privacidad por: De conformidad con lo dispuesto en el art 5 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), le informamos que sus datos personales formarán parte de un fichero cuyo titular es ATRÁPALO, SL con la finalidad de que pueda acceder a nuestra web como usuario registrado. Asimismo, mediante el clic en el checkbox “Envíame ofertas exclusivas de Atrápalo” usted nos autoriza a enviarle información comercial sobre nuestros productos y/o servicios por correo postal, por correo electrónico así como por otros medios electrónicos equivalentes (…) En el ANEXO 1, se incluye la captura de pantallas que evidencia el cambio realizado en los formularios de alta de usuarios…>> QUINTO: Con fecha 9/02/2016 se inició el período de práctica de pruebas. SEXTO: Con fecha 22/04/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 5000 € al denunciado, por la comisión de una infracción del artículo 5 de la LOPD en relación con el 45.1.
- b)del citado Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada ley, de acuerdo con el artículo 45 apartados 1 y 4 de la citada norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 SÉPTIMO: Con fecha 4/05/2016 tiene entrada en esta Agencia correo electrónico del denunciante, frente a la citada propuesta de resolución comunicando: “…le informo que no van a realizarse más alegaciones respecto a este expediente por parte de la compañía ATRÁPALO, S.L. No hay ningún nuevo argumento que pueda tener sentido traer a colación en este momento del procedimiento sancionador…” HECHOS PROBADOS PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del denunciante comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa…>> “ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas ATRAPALO, S.L. (en lo sucesivo el denunciado) <<…CLÁUSULA “En virtud de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que sus datos personales quedarán incorporados y serán tratados en los ficheros titularidad de ATRAPALO, S.L., con el fin de poder prestarle el servicio, así- como para mantenerle informado, incluso por medios electrónicos, sobre cuestiones relativas a la actividad de la empresa y sus servicios” (Aviso legal, primer párrafo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 “De conformidad con lo dispuesto en el art. 5 de la Ley Orgánica 15/1999 sobre Protección de Datos de Carácter Personal (LOPD), le informamos que sus datos personales formarán parte de un fichero el titular del cual es ATRÁPALO, S.L con la finalidad de realizar comunicaciones informativas y comerciales. Sus datos personales serán tratados con la máxima confidencialidad y con el deber de secreto requeridos. ATRAPALO, S.L. ha adoptado las medidas técnicas y organizativas definidas en el Real Decreto 1720/2007 (Política de privacidad, primer párrafo). “El usuario acepta que los datos personales facilitados en el proceso de compra de nuestros productos sean incorporados a un fichero automatizado, cuya titularidad corresponde a Atrapalo.com, con la finalidad de prestar adecuadamente el servicio solicitado ... así como realizar … comunicaciones comerciales por correo electrónico sobre otros productos que se comercializan a través de la página web de Atrapalo.com y que Atrapalo.com considere que podrían ser del interés del usuario, por ser similares a los contratados” (condición general 4, segundo párrafo)…>> “COMENTARIO” <<…De conformidad con la invocada LOPD, se requiere “el consentimiento inequívoco del afectado” cuando el tratamiento de los datos de carácter personal de éste no afecte a la ejecución del contrato suscrito con la empresa que efectúa la recogida (art. 6, apartados 1 y 2). Este es el caso de la segunda de las finalidades mencionadas en la primera de las cláusulas transcritas, a pesar de lo cual la empresa no recaba el consentimiento previo del titular de los datos que pretende tratar al margen de la ejecución del contrato que ha justificado la recogida de los mismos. La segunda de las cláusulas se contiene en la política de privacidad de la que se informa al usuario mediante ventana emergente en el momento de registrarse en esta web. Si bien en el formulario de registro se incluye una casilla que el usuario debe seleccionar expresamente (“Haz clic aquí si quieres recibir ofertas exclusivas de Atrápalo”), lo cierto es que el contenido de la cláusula vulnera la privacidad del afectado en el caso de que éste no marque de modo expreso la mencionada casilla. Conforme a lo establecido por el art. 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, debe permitirse al afectado que manifieste expresamente su negativa al tratamiento de sus datos para finalidades que no guarden relación directa con el mantenimiento de la relación contractual…>> (folios 1 a 10). SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos para crear una cuenta, que según la política de privacidad, es con fines publicitarios. El formulario tiene una casilla C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 para solicitar el envío de comunicaciones, pero no se informa de los sectores. En las condiciones generales para la contratación se indica que se remitirán comunicaciones comerciales electrónicas sobre productos similares a los contratados pero no existe posibilidad de mostrar la negativa (folios 16 a 20). TERCERO: Notificado el acuerdo de inicio, el denunciado mediante escritos de fecha 7/01/2016 formuló alegaciones, significando que: <<…De conformidad con lo dispuesto en el art 5 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), le informamos que sus datos personales formarán parte de un fichero cuyo titular es ATRÁPALO, SL con la finalidad de que pueda acceder a nuestra web como usuario registrado. Asimismo, mediante el clic en el checkbox “Envíame ofertas exclusivas de Atrápalo” usted nos autoriza a enviarle información comercial sobre nuestros productos y/o servicios por correo postal, por correo electrónico así como por otros medios electrónicos equivalentes (…) En el ANEXO 1, se incluye la captura de pantallas que evidencia el cambio realizado en los formularios de alta de usuarios…>> (folios 49 a 56). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento en el marco de una relación contractual para el tratamiento de datos con fines no relacionados directamente con la relación contratada, viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Por otro lado, el artículo 21 de la LSSI establece: “Artículo 21. Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes (…) 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” III El art. 15 de RLOPD impone la obligación de facilitar al interesado la posibilidad de que pueda mostrar expresamente su negativa al tratamiento de datos para fines no relacionados directamente con el mantenimiento de la relación contractual en el propio contrato. Así las cosas, la indicación sobre la posibilidad de los afectados de remitir un correo electrónico exponiendo su negativa a facilitar sus datos con fines comerciales o publicitarios y las cesiones de datos no resulta suficiente para entender cumplidas las exigencias normativas reseñadas, por cuanto la obligación de ofrecer un mecanismo válido para oponerse a la utilización de los datos personales con aquella finalidad se establece para el momento mismo de la recogida de los datos o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. En este sentido la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, ha declarado lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. Sin embargo, en el caso que se analiza, debido a las características del entorno en el que se recogen los datos personales, entorno online, se ha de concluir que el ofrecimiento de una dirección de correo electrónico a los interesados para que puedan mostrar su negativa a dichos tratamientos se adecua a lo dispuesto en el art. 15 RLOPD, ya que en estos casos los usuarios pueden mostrar su negativa en el momento mismo de la recogida de datos. Ahora bien en el formulario de recogida de datos existía una casilla seguida del texto: “Envíame ofertas exclusivas de Atrápalo” En el aviso legal se indicaba: “…con la finalidad de realizar comunicaciones informativas y comerciales…” Así las cosa dicha cláusula informativa no especificaba los sectores de actividad respecto de los que podía recibir información incumpliendo lo dispuesto en el art. 45.1.b RLOPD El citado artículo 5) de la LOPD establece que los interesados a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. Teniendo en cuenta que en la actualidad el formulario de alta de usuarios y la política de privacidad de la web del denunciado establecen: <<…Política de privacidad De conformidad con lo dispuesto en el art. 5 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), le informamos que sus datos personales formaran parte de un fichero cuyo titular es TRAPALO, S.L con la finalidad de que pueda acceder a nuestra web como usuario registrado. Asimismo mediante el clic en el checkbox “Envíame ofertas exclusivas de Atrápalo” usted nos autoriza a enviarle información comercial sobre nuestros productos y/o servicios por correo postal, por correo electrónico así como por otros medios…>> Se concluye que la actual leyenda informativa se ajusta a la normativa de protección de datos ya que en ella se indica que sólo recibirá ofertas de productos o servicios comercializados a través de la web de Atrápalo. IV El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar totalmente a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y, en especial, considerando, por un lado, la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, la actividad de la entidad imputada, que no es una mediana empresa, ha reconocido la infracción y que ha justificado haber llevado a cabo diversas regularizaciones, para el cumplimiento de las exigencias establecidas en la normativa reseñada, tras la recepción del Acuerdo de Inicio del procedimiento sancionador, puesto que en el presente procedimiento no se tramitó expediente de actuaciones previas, subsanando las deficiencias de su cláusula informativa con especial diligencia, por todo ello procede imponer una multa por importe de 5.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ATRAPALO, S.L., por una infracción del artículo 5 de la LOPD en relación con el 45.1.
- b)del citado Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa de 5.000 € (cinco mil euros), de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada norma. SEGUNDO: NOTIFICAR la presente resolución a ATRAPALO, S.L. y al INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es