← España

PS-00672-2015

1/16 Procedimiento Nº PS/00672/2015 RESOLUCIÓN: R/01113/2016 En el procedimiento sancionador PS/00672/2015, instruido por la Agencia Española de Protección de Datos a la entidad KVIAR VENTURES, SL., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo el denunciante) comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa (…) ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas KVIAR VENTURES SL., (en lo sucesivo el denunciado) CLÁUSULA (…) “le informamos de que los datos personales que nos facilite ...serán incorporados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 a un fichero automatizado... para enviarle información publicitaria y/o promocional de los productos y servicios ofrecidos por Clubkviar o por terceros relacionados con la compraventa de bienes de consumo que pueda resultar de su interés, consintiendo el Socio expresamente en el envío de dicha información por cualquier medio, incluidos los electrónicos” (Privacidad, condición 1 primer párrafo). Los datos “...necesarios para la utilización del servicio ...son ...destinados exclusivamente a la sociedad KVIAR VENTURES S.L. y sus asociados restauradores que pondrán atención a fin de preservar, en la medida de lo posible, la seguridad de los datos personales” (condición general 5.4, primer párrafo) (…) COMENTARIO (…) Es imprescindible para dicho tratamiento “el consentimiento inequívoco del afectado” (art. 6.1 LOPD), requisito que incumple la empresa puesto que no incluye en su condicionado ni en el proceso de recogida de datos una casilla destinada a posibilitar que el afectado pueda oponerse expresamente a este tratamiento de sus datos. Las medidas a las que tanto la empresa titular de la web como las empresas de restauración con las que se relaciona en la prestación de sus servicios vienen legalmente obligadas en materia de privacidad no se limitan a las destinas a garantizar en la medida de lo posible la seguridad de los datos personales recogidos, sino que deben incluir todas las destinadas a evitar “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos (art. 9.1 LOPD)…>> SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que en la web del denunciado no se ha localizado la cláusula de privacidad. En la condición 5.4 de términos de uso y condiciones contiene el siguiente literal: <<…El usuario autoriza a la sociedad KVIAR VENTURES S.L. a facilitar todas las informaciones que le conciernen a un asociado restaurador de la sociedad KVIAR VENTURES S.L. Igualmente, el usuario autoriza a la sociedad KVIAR VENTURES S.L. a utilizar y/o ceder estas informaciones dentro del marco de las asociaciones, y que, conformemente a la ley, en particular para que el usuario pueda beneficiarse de informaciones y servicios personalizados (tales como los puntos de fidelidad o las invitaciones gratuitas)…>> Por lo tanto, se indica que los datos serán cedidos a un asociado restaurador pero no indica la finalidad. También indica que pueden ser cedidos con fines publicitarios pero no indica los sectores de actividad de los cesionarios. En cuanto a la posibilidad de manifestar negativa se indica que se puede marcar la casilla que figura dispuesto en el formulario de apertura de la cuenta. Este formulario no se ha localizado pero existe formulario de contacto con la misma información y sin casilla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 TERCERO: Con fecha 17 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 11.3 de la LOPD y 15 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. Infracción tipificada como leve en el artículo 44.2.

  1. c)de la citada Ley Orgánica y pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 14/01/2016 formuló alegaciones, significando que: <<…2. AUSENCIA DE ANTIJURICIDAD RESPECTO AL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL, EN CUANTO A LA CESIÓN DE DATOS DE CARÁCTER PERSONAL AL “ASOCIADO RESTAURADOR” (Art. 5 en relación con Art. 11.3 LOPD) (…) a. Los servicios prestados por KVIAR consisten en la oferta de descuentos y servicios de reserva de mesas en restaurantes asociados con KVIAR (“asociados restauradores”). Como indica KVIAR claramente en la PAGINA WEB y en los Términos de Uso: “La página web Clubkviar.com permite al usuario buscar y reservar una mesa online y en tiempo real en un restaurante. La página web Clubkviar.com permite al usuario beneficiarse de estas ofertas y promociones si reserva mesa a través del procedimiento de reserva online previsto en la web.”. b. Para prestar sus servicios a sus usuarios (los interesados), KVIAR debe necesariamente comunicar los datos del usuario “reservante” de mesa al restaurante objeto de la reserva (sino sería imposible reservar mesa), comunicación cuya única finalidad es la de realizar la reserva (…) e. Por lo tanto en base al Artículo 11.2
  2. c)de la LOPD, en ese caso, no es necesario ni exigible (
  3. a)solicitar el consentimiento del interesado ni (
  4. b)informar con un alto nivel de detalle sobre dicha cesión (puesto que justamente esta cesión de datos es estrictamente necesaria y se realiza dentro de lo que marca el precepto “cuanto se limite a la finalidad que la justifique”). Finalidad evidente para cualquier usuario, que sabría que sus datos se deben de compartir con los “asociados restauradores” a los que el servicio le realiza reservas y le permite beneficiarse de las correspondientes ofertas y descuentos (debido a la propia naturaleza del servicio). f. En una anterior versión de los Términos de Uso (que quizá sean aquellos a los que el Instituto Municipal de Consumo se refiere, pero en nuestro entendimiento no son las vigentes en el momento del ACUERDO), KVIAR pueda haber empleado la expresión “El usuario autoriza» respecto a dicha cesión de datos de carácter personal, expresión que dificulta la comprensión de que se está ante una cesión de datos autorizada legalmente bajo el Artículo 11.2
  5. c)de la LOPD. Sin embargo, KVIAR remarca que esta poca afortunada expresión podría parecer reflejar un consentimiento no necesario del usuario (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 g. Finalmente, resaltar que los datos de los usuarios de la PAGINA WEB solamente se comunican a los asociados restauradores de los que dicho usuario haya reservado una mesa, y a ningún otro restaurador ni tercero (…) 3. AUSENCIA DE ANTIJURICIDAD RESPECTO AL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL, DEBIDO A LA NO EXISTENCIA DEL TRATAMIENTO DE DATOS PARA ACTIVIDADES DE PUBLICIDAD Y PROSPECCIÓN COMERCIAL REGULADOS EN EL ARTÍCULO 45 Y SIGUIENTES DEL RLOPD (…) c. Segundo, el texto vigente en el momento del ACUERDO (recogido en el anterior párrafo (a)) recoge a una solicitud del consentimiento para (
  6. a)unos tratamientos a realizar por KVIAR (en cuanto dice “utiliza”) y (
  7. b)una cesión de datos a terceros (en cuanto dice “ceder») en ambos casos con finalidades publicitarias que, más allá del envío de newsletters (boletines) de la misma KVIAR, que comentamos a continuación, en la realidad nunca se ha producido. Una información inadecuada y un consentimiento hipotéticamente nulo (…) no puede ser una infracción de la LOPD… d. Con respecto a tratamientos con finalidades publicitarias real y efectivamente realizados por KVIAR, lo más semejante sería el tratamiento del email de usuarios para el envío de informaciones sobre los servicios de KVIAR (“newsletters”). Este supuesto no es un supuesto de publicidad de productos y servicios de terceros que regulan el Artículo 15 de la LOPD y el Artículo 45 y siguientes… e. A los efectos de corregir esta información inexacta en los Términos de Uso, KVIAR procede a modificar los mismos, tal y como se indica en la Alegación 6 a continuación, y adjuntamos los nuevos Términos de Uso (Documento Anexo 2) que no incluyen nada parecido al respecto de dicho tratamientos. Asimismo, actualmente está implementado conforme a la normativa permitiendo a los usuarios oponerse al tratamiento de sus datos para el envío de boletines (tanto en la recepción de los datos como en las comunicaciones comerciales de las mismas) y se adjunta el Documento Anexo 3 que describe parte de la manera en que se aplica (...) 5. AUSENCIA DE EVIDENCIAS DE REALIZACIÓN DE LOS TRATAMIENTOS DE DATOS PARA ACTIVIDADES DE PUBLICIDAD Y PROSPECCIÓN COMERCIAL REGULADOS EN EL ARTÍCULO 45 Y SIGUIENTES DEL RLOPD Y APLICACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA (…) 6. RECONOCIMIENTO DE LA NECESIDAD DE MEJORA EN EL CUMPLIMIENTO DEL DEBER DE INFORMACIÓN. (…) Así, pese a no reconocer incumplimientos normativos, KVIAR ha procedido a modificar los Términos de Uso del SITIO WEB para ofrecer mejor información al interesado (incorporando incluso más informaciones de las que exige la ley). La actual versión de los Términos de Uso, ya implementada, se anexa al presente escrito como “Documento Anexo 2” Interesa esta parte resaltar especialmente las siguientes modificaciones, ofreciendo su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 actual redactado: a. Respecto a la necesaria comunicación de datos a asociado restaurador: “El usuario es informado de que los datos de carácter personal señalizados como obligatorios en los formularios (los “Datos”) y que son recogidos dentro del contexto de la prestación y gestión del Servicio, son necesarios para la prestación y gestión del Servicio. Los Datos necesarios para realizar las reservas y ofertas serán comunicados al específico asociado restaurador de KVIAR VENTURES S.L. al que el usuario esté solicitando el Servicio, y únicamente para dicha finalidad (la prestación y gestión del Servicio). El usuario es consciente que la prestación del Servicio es imposible sin que KVIAR VENTURES S.L. facilite dichas informaciones a sus asociados restauradores para esta finalidad” b. Respecto al único tratamiento para finalidades publicitarias (el envío de “newsletters” propias de KVIAR), que es el único caso en que hay que aplicar el artículo 15 del RLOPD: “Asimismo KVIAR VENTURES SL. también tratará los Datos con la finalidad de que el usuario pueda beneficiarse de informaciones y servicios personalizados (por ejemplo de planes con puntos de fidelidad, invitaciones gratuitas o comunicaciones comerciales electrónicas) de KVIAR VENTURES S.L. (salvo que el usuario se haya opuesto a este aspecto en la recogida de los datos o en un momento posterior).” c. Asimismo, con respecto al envío de “newsletters, la solicitud de consentimiento está actualmente implementada conforme a la normativa permitiendo a los usuarios oponerse dicho tratamiento (tanto en la recepción de los datos como en las comunicaciones comerciales de las mismas), tal y como se indica en el Documento Anexo 3 a tales efectos que describe la manera en que se aplica. d. Por tanto, se incorpora como Documento Anexo 4 las capturas de pantalla del consentimiento electrónico de los usuarios/interesados a dichos Términos de Uso y en el que también se puede ver la forma de oponerse esta finalidad publicitaria en la recogida de los datos de carácter personal de “newsletters” en el consentimiento para registrarse como usuario (salvo, y como se ha explicado anteriormente, respecto a los datos del formulario de contacto que nunca se tratan a efectos del envío de “newsletters” y por este motivo no tiene esta casilla). 7. CONCLUSIONES PRELIMINARES: En resumen, si bien los Términos de Uso de la PÁGINA WEB vigentes en el momento del ACUERDO pueden faltar en cuanto a precisión, las potenciales cesiones de datos y tratamientos para finalidades publicitarias referidas en las mismas no han tenido lugar. Para corregir y mejorar la información proporcionada a los usuarios de la PAGINA WEB, se ha procedido ya a modificar e implementar nuevas condiciones con el redactado indicado en el Documento Anexo 2 (…) …criterios que establece el Artículo 45 de la LOPD para aplicar el apercibimiento o la cuantía mínima de la sanción. Concretamente los siguientes criterios son aplicables (que podrían acreditarse si llegara a ser necesario): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 a. El reducido volumen de tratamientos efectuados. b. El discreto volumen de negocio de KVIAR VENTURES S.L. c. La ausencia de beneficios por parte de KVIAR VENTURES S.L. debido a las presuntas irregularidades. d. La ausencia de intencionalidad en la infracción. e. La ausencia de reincidencias en infracciones de dicha naturaleza. f. La ausencia de perjuicios causados a interesados o a terceras personas. g. KVIAR espontáneamente reconoce que algunas de las expresiones de los textos legales del SITIO WEB no son óptimas. h. KVIAR ha regularizado la presunta irregularidad investigada de manera diligente…>> (el subrayado es de la AEPD). QUINTO: Con fecha 9 de febrero de 2016 se inició el período de práctica de pruebas. SEXTO: Con fecha 13/04/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 5.000 € al denunciado, por la comisión de una infracción del artículo 5 de la LOPD en relación con los artículos 11.3 de la LOPD y 15 del citado Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
  8. c)de la citada ley, de acuerdo con el artículo 45 apartados 1 y 4 de la citada norma. SÉPTIMO: Con fecha 28/04/2016 tiene entrada en esta Agencia escrito de alegaciones del denunciado frente a la citada propuesta de resolución, ratificándose en las manifestadas a lo largo de procedimiento y comunicando así mismo: <<…IX. La PROPUESTA DE RESOLUCIÓN podía proponer una sanción de entre 900 o 40.000€ siendo finalmente su propuesta de 5.000€ debido a que KVIAR — conforme el Fundamento Jurídico IV de la PROPUESTA DE RESOLUCIÓN - “ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, subsanando las deficiencias de la cláusula informativa con especial diligencia”. X. Que, pese a reconocer esta especial diligencia, la PROPUESTA DE RESOLUCIÓN —en el Fundamento Jurídico IV- indica que no reduce más la sanción (ni considera el apercibimiento) debido a la especial diligencia que ha de exigirse a las empresas, que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos…” Como se detalla las Alegaciones, aplicar este criterio a KVIAR es cuestionablesobretodo si se compara con la cantidad de usuarios de otras empresas también incluidas en la denuncia del INSTITUTO MUNICIPAL DE CONSUMO del AYUNTAMIENTO DE MADRID a las que entendemos que se aplica el mismo criterio teniendo ellas un número astronómicamente superior de usuarios (tal y como se indica a continuación) (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 b. Asimismo, en las presentes Alegaciones, se ha mostrado que pueden apreciarse en el presente caso la concurrencia de numerosos criterios entre los que establece el Artículo 45.4 de la LOPD para graduar la sanción a la baja, y en especial para aplicar el apercibimiento (o en su caso la cuantía mínima de la sanción propuesta). c. Concretamente y en resumen, los siguientes criterios (ya argumentados) son aplicables: ¡. El reducido volumen de tratamientos efectuados: Véase los números sobre usuarios de KVIAR. ii. El discreto volumen de negocio de KVIAR VENTURES S.L. Véase el último balance de la sociedad, así como las indicaciones en la prensa sobre la competencia y los demás operadores denunciados iii. La ausencia de beneficios por parte de KVIAIR VENTURES S.L. debido a las presuntas irregularidades. iv. La ausencia de intencionalidad en la infracción. v. La ausencia de reincidencias en infracciones de dicha naturaleza. vi. La ausencia de perjuicios causados a interesados o a terceras personas. vii. KVIAR espontáneamente ha regularizado la presunta irregularidad investigada de manera diligente…>> HECHOS PROBADOS PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del denunciante comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa (…) ANEXO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas KVIAR VENTURES SL., (en lo sucesivo el denunciado) CLÁUSULA (…) “le informamos de que los datos personales que nos facilite ...serán incorporados a un fichero automatizado... para enviarle información publicitaria y/o promocional de los productos y servicios ofrecidos por Clubkviar o por terceros relacionados con la compraventa de bienes de consumo que pueda resultar de su interés, consintiendo el Socio expresamente en el envío de dicha información por cualquier medio, incluidos los electrónicos” (Privacidad, condición 1 primer párrafo). Los datos “...necesarios para la utilización del servicio ...son ...destinados exclusivamente a la sociedad KVIAR VENTURES S.L. y sus asociados restauradores que pondrán atención a fin de preservar, en la medida de lo posible, la seguridad de los datos personales” (condición general 5.4, primer párrafo) (…) COMENTARIO (…) Es imprescindible para dicho tratamiento “el consentimiento inequívoco del afectado” (art. 6.1 LOPD), requisito que incumple la empresa puesto que no incluye en su condicionado ni en el proceso de recogida de datos una casilla destinada a posibilitar que el afectado pueda oponerse expresamente a este tratamiento de sus datos. Las medidas a las que tanto la empresa titular de la web como las empresas de restauración con las que se relaciona en la prestación de sus servicios vienen legalmente obligadas en materia de privacidad no se limitan a las destinas a garantizar en la medida de lo posible la seguridad de los datos personales recogidos, sino que deben incluir todas las destinadas a evitar “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos (art. 9.1 LOPD)…>> (folios 1 a 10). SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que en la web del denunciado no se ha localizado la cláusula de privacidad. En la condición 5.4 de términos de uso y condiciones contiene el siguiente literal: <<…El usuario autoriza a la sociedad KVIAR VENTURES S.L. a facilitar todas las informaciones que le conciernen a un asociado restaurador de la sociedad KVIAR VENTURES S.L. Igualmente, el usuario autoriza a la sociedad KVIAR VENTURES S.L. a utilizar y/o ceder estas informaciones dentro del marco de las asociaciones, y que, conformemente a la ley, en particular para que el usuario pueda beneficiarse de informaciones y servicios personalizados (tales como los puntos de fidelidad o las invitaciones gratuitas)…>> (folios 17 a 33). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 TERCERO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 14/01/2016 formuló alegaciones, significando que: <<…e. A los efectos de corregir esta información inexacta en los Términos de Uso, KVIAR procede a modificar los mismos, tal y como se indica en la Alegación 6 a continuación, y adjuntamos los nuevos Términos de Uso (Documento Anexo 2) que no incluyen nada parecido al respecto de dicho tratamientos. Asimismo, actualmente está implementado conforme a la normativa permitiendo a los usuarios oponerse al tratamiento de sus datos para el envío de boletines (tanto en la recepción de los datos como en las comunicaciones comerciales de las mismas) y se adjunta el Documento Anexo 3 que describe parte de la manera en que se aplica (...) (el subrayado es de la AEPD). 6. RECONOCIMIENTO DE LA NECESIDAD DE MEJORA EN EL CUMPLIMIENTO DEL DEBER DE INFORMACIÓN. (…) Así, pese a no reconocer incumplimientos normativos, KVIAR ha procedido a modificar los Términos de Uso del SITIO WEB para ofrecer mejor información al interesado (incorporando incluso más informaciones de las que exige la ley). La actual versión de los Términos de Uso, ya implementada, se anexa al presente escrito como “Documento Anexo 2” Interesa esta parte resaltar especialmente las siguientes modificaciones, ofreciendo su actual redactado: a. Respecto a la necesaria comunicación de datos a asociado restaurador: “El usuario es informado de que los datos de carácter personal señalizados como obligatorios en los formularios (los “Datos”) y que son recogidos dentro del contexto de la prestación y gestión del Servicio, son necesarios para la prestación y gestión del Servicio. Los Datos necesarios para realizar las reservas y ofertas serán comunicados al específico asociado restaurador de KVIAR VENTURES S.L. al que el usuario esté solicitando el Servicio, y únicamente para dicha finalidad (la prestación y gestión del Servicio). El usuario es consciente que la prestación del Servicio es imposible sin que KVIAR VENTURES S.L. facilite dichas informaciones a sus asociados restauradores para esta finalidad” b. Respecto al único tratamiento para finalidades publicitarias (el envío de “newsletters” propias de KVIAR), que es el único caso en que hay que aplicar el artículo 15 del RLOPD: “Asimismo KVIAR VENTURES SL. también tratará los Datos con la finalidad de que el usuario pueda beneficiarse de informaciones y servicios personalizados (por ejemplo de planes con puntos de fidelidad, invitaciones gratuitas o comunicaciones comerciales electrónicas) de KVIAR VENTURES S.L. (salvo que el usuario se haya opuesto a este aspecto en la recogida de los datos o en un momento posterior).” c. Asimismo, con respecto al envío de “newsletters, la solicitud de consentimiento está actualmente implementada conforme a la normativa permitiendo a los usuarios oponerse dicho tratamiento (tanto en la recepción de los datos como en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 comunicaciones comerciales de las mismas), tal y como se indica en el Documento Anexo 3 a tales efectos que describe la manera en que se aplica. d. Por tanto, se incorpora como Documento Anexo 4 las capturas de pantalla del consentimiento electrónico de los usuarios/interesados a dichos Términos de Uso y en el que también se puede ver la forma de oponerse esta finalidad publicitaria en la recogida de los datos de carácter personal de “newsletters” en el consentimiento para registrarse como usuario (salvo, y como se ha explicado anteriormente, respecto a los datos del formulario de contacto que nunca se tratan a efectos del envío de “newsletters” y por este motivo no tiene esta casilla)…>> (folios 99 a 141). CUARTO: Con fecha 12/04/2016 se constata que las modificaciones expuestas por el denunciado en su escrito de alegación, han sido incorporadas a su página web (folios 146 y 147). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  10. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  11. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  12. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  13. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  14. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  15. c)y
  16. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento en el marco de una relación contractual para fines no relacionados con la misma, viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Por otro lado, el artículo 11.3 de la LOPD establece lo siguiente: “Artículo 11.3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” III En el caso que nos ocupa se ha podido comprobar que la entidad denunciada incumplía lo dispuesto en el artículo 5 de la LOPD en relación con el art. 11.3 de la LOPD y el artículo 15 del citado Reglamento, en la medida en que se ha podido comprobar que el formulario habilitado por el mismo para la recogida de datos personales, contenía una leyenda informativa en materia de protección de datos de carácter personal que no se ajustaba a las previsiones normativas reseñadas, ya que no ofrece información sobre los sectores de actividad de los cesionarios y se solicitaba el consentimiento para el tratamiento de los datos con fines publicitarios, sin habilitar una casilla o procedimiento equivalente que permita al afectado manifestar su negativa en el momento de la contratación. El citado artículo 5) de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. En el presente procedimiento no se imputa un tratamiento o cesión de datos sin consentimiento de sus titulares. En la actualidad la cláusula recoge: <<…El usuario es informado de que los datos de carácter personal señalizados como obligatorios en los formularios (los “Datos”) y que son recogidos dentro del contexto de la prestación y gestión del Servicio, son necesarios para la prestación y gestión del Servicio. Los Datos necesarios para realizar las reservas y ofertas serán comunicados al específico asociado restaurador de KVIAR VENTURES S.L. al que el usuario esté solicitando el Servicio, y únicamente para dicha finalidad (la prestación y gestión del Servicio). El usuario es consciente que la prestación del Servicio es imposible sin que KVIAR VENTURES S.L. facilite dichas informaciones a sus asociados restauradores para esta finalidad. Asimismo KVIAR VENTURES S.L. también tratará los Datos con la finalidad de que el usuario pueda beneficiarse de informaciones y servicios personalizados (por ejemplo de planes con puntos de fidelidad, invitaciones gratuitas o comunicaciones comerciales electrónicas) de KVIAR VENTURES S.L. (salvo que el usuario se haya opuesto a este aspecto en la recogida de los datos o en un momento posterior)…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 Así mismo se ofrece un procedimiento para que el afectado al registrarse en el citado club, manifiesta su negativa al tratamiento de sus datos con fines publicitarios, consistente en haber incorporado en su apartado de contacto de su web la anotación Si continúas aceptas estas Condiciones de Uso que has leído y entendido, y en el apartado Regístrate en ClubKviar la misma anotación y una casilla para marcar No acepto recibir comunicaciones comerciales electrónicas (folio 140). IV El artículo 44.2.
  17. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad denunciada ha recabado datos personales sin facilitar totalmente a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y en especial, considerando por un lado, la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, la actividad de la entidad imputada, que es una mediana empresa y que ha justificado haber llevado a cabo las regularizaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, subsanando las deficiencias de la cláusula informativa con especial diligencia, al haber incorporado en su apartado de contacto de su web la anotación Si continúas aceptas estas Condiciones de Uso que has leído y entendido, y en el apartado Regístrate en ClubKviar la misma anotación y una casilla para marcar No acepto recibir comunicaciones comerciales electrónicas. Por todo ello procede la imposición de una multa por importe de 1.300 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad KVIAR VENTURES, SL., por una infracción del artículo 5 de la LOPD en relación con los artículos 11.3 de la LOPD y 15 del citado Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
  28. c)de la LOPD, una multa 1.300 € (mil trescientos euros), de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a KVIAR VENTURES, SL., y al INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.