PS-00673-2015

(1)“En general, utilizamos la información para gestionar pedidos, entregar productos y ofrecer servicios, procesar pagos, ponernos en contacto con usted en relación con pedidos, productos, servicios y ofertas promocionales, actualizar nuestros registros, realizar el mantenimiento de su cuenta en Amazon BuyVlP, mostrar contenidos y para recomendar productos y servicios que pudieran serle de interés” (Aviso de privacidad, tercer párrafo).

(2)“Cada vez que accedas al Sitio Web de Amazon BuyVIP o nos envíes un correo electrónico, estarás comunicándote electrónicamente con nosotros. Nosotros nos pondremos en contacto contigo mediante correo electrónico o mediante la publicación de avisos en nuestro Sitio Web. A efectos contractuales, estás consintiendo recibir comunicaciones de nuestra parte mediante medios electrónicos, y entiendes que todos los contratos, avisos y otras notificaciones que te enviemos por medios electrónicos cumplen con los mismos requisitos legales que si dichas comunicaciones se realizasen por escrito. Lo anterior no afecta a tus derechos legales” (condición de uso y venta 19) (…) COMENTARIO (…)

(1)La empresa hace constar que forma “parte del programa Safe Harbour, desarrollado por el Departamento de Comercio de Estados Unidos y la Unión Europea”, así como que pretende ajustarse a la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Ahora bien, Amazon incumple la exigencia legal de que el afectado haya solicitado o autorizado de modo expreso que se le envíen comunicaciones comerciales (art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, LSSI), requisito imprescindible ya que el fichero incluye entre sus finalidades algunas que no resultan necesarias para el mantenimiento o cumplimiento del contrato suscrito (art. 21.2 LSSI), el cual se circunscribe a la compra de un bien.

(2)Al aludir de modo genérico a comunicaciones, es razonable pensar que la empresa incluye las de naturaleza comercial. Por otro lado, puesto que no supedita este tipo de envíos al consentimiento explícito del afectado, debe considerarse que la cláusula no se ajusta a las normativas de protección de datos y de comercie electrónico. La salvedad que contiene el inciso final de esta segunda cláusula no es óbice para ello…>> SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos para darse de alta como socio y poder realizar compras. Este formulario de Amazon Buy Vip se encuentra alojada en Amazon.es registrada a nombre de Amazon Europe Holding Technologies SCS. El formulario de recogida de datos tiene enlace a "Aviso de privacidad", "Términos y condiciones" y "Condiciones de Cookies y publicidad en internet". Estos se encuentran alojados en Buyvip.com registrado a nombre de Amazon Europe Holding Technologies SCS con sede en Luxemburgo, Buyvip.es también es de la citada entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 El enlace "términos y condiciones" dirige al documento denominado "condiciones de uso y venta". En ningún documento se recoge la información del art. 5 además se obtiene consentimiento para publicidad sin indicar sectores ni habilitar casilla. TERCERO: Con fecha 14 de enero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con el artículo 15 y el 45.1.

1. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificadas como leve en el artículo 44.2.
2. c)de dicha norma, pudiendo ser sancionada, con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, Amazon Eu Sarl Sucursal En España mediante escrito de fecha 4/02/2016 formuló alegaciones, significando que: <<…Me pongo en contacto con ustedes, actuando en nombre y representación de Amazon EU Sàrl Sucursal en España según se acredita mediante copia de escritura de poder que se aporta como Anexo 1 a la presente, en relación con su notificación de fecha 15 de enero de 2016 relativa a la apertura del procedimiento sancionador N°: PS/00673/2015, (la “Notificación”). Les informamos de que la Notificación ha sido incorrectamente dirigida a Amazon EU Sàrl Sucursal en España. Amazon EU Sàrl Sucursal en España no es el operador del sitio web Amazon BuyVIP (es.buyvip.com) al que la Notificación se refiere, ni el responsable del tratamiento de los datos personales relacionados con dicho sitio web. Por tanto, Amazon EU Sàrl Sucursal en España no es la entidad apropiada para abordar los asuntos identificados en su Notificación. A fin de que pueda abordar los asuntos reflejados en su Notificación, les solicitamos que remitan la Notificación a Amazon EU Sàrl, que es la entidad relevante a los efectos de los hechos descritos en la misma en tanto operadora del sitio web Amazon BuyVIP y responsable del tratamiento de los datos personales de sus clientes. Amazon EU Sàrl tiene su domicilio en (C/....1) Luxemburgo. Quedamos a su disposición en caso de que necesitasen cualquier otra información o aclaración…>> QUINTO: Con fecha 7/03/2016 se inició el período de práctica de pruebas, en el que se acuerda entre otros, incorporar copia compulsada de las Actas de Inspección E/05791/2015/I-01 y E/05791/2015/I/02. Igualmente se incorpora copia compulsada del Informe de Actuaciones Previas de Inspección E/05791/2015. SEXTO: Con fecha 26/05/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 10.000 € al denunciado, por la comisión de una infracción del artículo 5 de la LOPD en relación con el 15 y 45.1.
3. b)del citado Reglamento que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/24 desarrolla, tipificada como leve en el artículo 44.2.
4. c)de la citada ley, de acuerdo con el artículo 45 apartados 1 y 4 de la citada norma. SÉPTIMO: Con fecha de entrada en la Agencia 24/06/2016 el denunciado realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…VI. Que la CNPD ha manifestado ante la AEPD que la AEPD no es la autoridad competente y que, de conformidad con el Artículo 28 de la Directiva 95/46/CE sobre Protección de Datos ("Directiva de Protección de Datos"), la AEPD debería remitir cualquier cuestión relacionada con el asunto de referencia a la CNPD (…) VIII. Que se realizan las siguientes alegaciones sin que ello implique admitir que la AEPD sea competente ni que las leyes españolas resulten de aplicación. Tal y como anteriormente se notificó en el marco del presente procedimiento, y tal y como la CNPD recordó a la AEPD, la AEPD no es la autoridad de protección de datos competente para conocer de este asunto y la ley española no resulta de aplicación. Como la ley aplicable es la de Luxemburgo, no existe base legal para el Procedimiento Sancionador, habiendo cumplido Amazon EU con la ley luxemburguesa. Asimismo, y sin perjuicio de lo anterior, y aun cuando la legislación española no resulta de aplicación, los términos disponibles en el Sitio Web AmazonBuyVIP cumplen con los requisitos exigidos por el artículo 5 LOPD y los artículos 15 y 45.1
5. b)RLOPD, por lo que no habría base legal alguna bajo derecho español para apreciar la existencia de infracción ni para imponer sanción alguna (...) 3. La CNPD ha venido confirmando sistemáticamente que la normativa luxemburguesa es la aplicable respecto del tratamiento de datos personales de clientes por parte de Amazon EU y que, por tanto, la CNPD es la única autoridad competente en materia de protección de datos que, de conformidad con la Directiva de Protección de Datos, tiene la potestad de imponer sanciones a Amazon EU. La CNPD ha examinado el papel que desempeña Amazon EU a la hora de operar los Sitios Web de Amazon EU, en su toma de decisiones de marketing, gestión de quejas y solicitudes de clientes, gestión de su relación con cada una de las entidades europeas locales del grupo Amazon, así como su papel a la hora de tomar decisiones para implementar medidas técnicas, y en virtud de ello ha concluido que Amazon EU es el responsable del tratamiento de datos personales de los clientes europeos recogidos y tratados a través de los Sitios Web de Amazon EU. La CNPD ha puesto de relieve, en ocasiones anteriores y de manera específica, sus conclusiones ante la AEPD. 4. Amazon Spain Services SL ("Amazon Spain") y Amazon Spain Fulfilment SL ("Amazon SF") son entidades jurídicas domiciliadas en España, a las que la AEPD ha hecho igualmente mención en su Notificación. No obstante, ninguna de ellas es responsable del tratamiento de los datos personales de los clientes. Amazon Spain presta servicios administrativos, incluyendo servicios de contabilidad, de asesoramiento jurídica local, de gestión de personal, así como otros servicios auxiliares de carácter financiero, técnico y corporativo a Amazon EU. Amazon SF es una de las más de diez entidades que prestan servicios de logística a Amazon EU, explotando más de 29 centros logísticos (almacenes) en Europa, en los que se almacenan productos y desde donde, cuando Amazon EU recibe pedidos de clientes, se envía la mercancía y se tramitan las devoluciones de productos. No obstante, y en aras de la exhaustividad, Amazon SF no presta dichos servicios para las compras realizadas a Amazon EU a través del Sitio Web de AmazonBuyVIP. La CNPD ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 confirmado que Amazon Spain no interviene ni como responsable del tratamiento ni como co-responsable sino, únicamente, como encargado del tratamiento, y lo mismo puede decirse de Amazon SF (…) 7. Amazon EU creó la Sucursal de Amazon en mayo de 2015. La función de la Sucursal de Amazon es principalmente la de prestar apoyo en la contratación y en la compra de productos físicos y servicios vendidos por Amazon EU a través de los Sitios Web de Amazon EU. La Sucursal de Amazon no recoge ni trata datos personales de clientes sino que existe para apoyar a Amazon EU en la contratación y compra de productos físicos y servicios vendidos por ésta, sin que sus actividades guarden relación alguna con el tratamiento de datos personales de los clientes. El papel de la Sucursal de Amazon no guarda relación alguna con ningún tratamiento de datos personales de los clientes. SEGUNDA ALEGACIÓN: LA LEY APLICABLE AL TRATAMIENTO DE LOS DATOS PERSONALES RECOGIDOS A TRAVÉS DEL SITIO WEB AMAZONBUYVIP ES LA LEY DE PROTECCIÓN DE DATOS DE LUXEMBURGO (…) Artículo 4

(1)(

1. a)Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
2. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; 9. La finalidad perseguida por el artículo 4 es evitar que una única operación de tratamiento de datos esté sujeta a la legislación de más de un Estado miembro ya que esto podría dar lugar a confusión -tanto para interesados como para responsables de tratamiento- y a un conflicto de leyes (si se aplica la legislación de más de un Estado miembro), así como a perturbar el principio de mercado único, que pretende garantizar la libre circulación de bienes, capitales, servicios y personas entre los Estados miembros, y que constituye claramente un pilar fundamental de la UE. Así pues, el propósito subyacente radica en lograr la armonización y promover el reconocimiento y la confianza mutua entre los Estados miembros, de manera que, de aplicarse la ley de un Estado miembro, los demás Estados miembros puedan estar seguros de que existe un nivel de protección adecuado (…) 14. Ateniéndonos a los fundamentos jurídicos y al razonamiento expuesto anteriormente, Amazon EU es el responsable del tratamiento de los datos de los clientes recabados y tratados a través de los Sitios Web de Amazon EU, incluyendo el Sitio Web AmazonBuyVIP. Los datos de clientes se tratan en el marco de las actividades de Amazon EU en su calidad de responsable del tratamiento. Las Entidades Españolas Encargadas de Tratamiento tratan los datos de clientes como encargados de tratamiento (no como responsables) en el marco de las actividades llevadas a cabo por Amazon EU (a saber, para prestar servicios corporativos o ejecutar el envío de pedidos de clientes). Las Entidades Españolas Encargadas de Tratamiento no pueden ser consideradas responsables del tratamiento, ya que no tratan datos personales de clientes para sus propias finalidades, sino que dicho tratamiento se efectúa únicamente bajo las instrucciones de Amazon EU. Las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 Entidades Españolas Encargadas de Tratamiento no toman ninguna decisión sobre la recogida o el uso de los datos personales de los clientes, sino que, únicamente están autorizadas a tratar dichos datos personales bajo las instrucciones de Amazon EU. 15. La AEPD ya reconoció con anterioridad que Amazon EU es el responsable del tratamiento, y por tanto, responsable de dar respuesta a las solicitudes de cancelación de los datos de los clientes de uno de los Sitios Web de Amazon EU, www.amazon.es5, que sigue la misma estructura y funcionamiento en lo que a la venta de productos físicos a clientes se refiere que el Sitio Web de AmazonBuyVIP. Asimismo, la AEPD confirmó en la misma resolución que dichas solicitudes debían ser tramitadas de acuerdo con la ley luxemburguesa de protección de datos. Por tanto, queda claro que la AEPD ha venido reconociendo en anteriores ocasiones la validez de los argumentos de Amazon EU, según los cuales, el derecho luxemburgués resulta de aplicación al tratamiento de los datos personales de los clientes de Amazon EU. 5 En el procedimiento administrativo TD/00622/2015 relativo a Amazon Spain. 16. Es más, queda claro que Amazon EU no pretende eludir la legislación europea de protección de datos, habida cuenta de que reconoce plenamente, está sujeto a y cumple con (y siempre así lo ha hecho) la ley luxemburguesa de protección de datos. Por otra parte, las circunstancias de Amazon EU son totalmente diferentes a la situación examinada por el Tribunal de Justicia de la Unión Europea ("TJUE") en el asunto Google Spain v Agencia Española de Protección de Datos C-131/12 (…) 20. Por lo que respecta a la Sucursal de Amazon, si bien se trata de un establecimiento del responsable del tratamiento (Amazon EU), no trata datos personales de clientes en el marco de las actividades de Amazon EU. 21. Más significativamente, si bien las actividades de la Sucursal de Amazon y de Amazon EU están relacionadas, no existe un vínculo indisociable como en el caso de Google Spain. A diferencia de las circunstancias presentes en el caso de Google Spain y en Weltimmo7, la Sucursal de Amazon realiza principalmente funciones de apoyo en la contratación y en la compra de productos físicos y servicios vendidos por Amazon EU a través de los Sitios Web de Amazon EU, y para llevar a cabo dichas funciones la Sucursal de Amazon no trata datos personales de clientes. Por el contrario, en el caso de Google Spain, la publicidad que aparecía en el motor de búsqueda se dirigía a personas españolas que utilizaban el motor de búsqueda, y estos ingresos publicitarios contribuían a financiar la actividad del buscador utilizado por esas mismas personas. Adicionalmente, en el caso Weltimmo, el tratamiento en cuestión consistía en la publicación, en los sitios web de intermediación inmobiliaria de Weltimmo, de los datos personales relativos a los dueños de propiedades inmobiliarias y, en algunos supuestos, se empleaban dichos datos con finalidades de facturación de anuncios publicitarios una vez finalizado el periodo gratuito. Tanto en el caso de Google Spain como en el de Weltimmo existía un vínculo claro y directo entre las actividades de tratamiento y las personas afectadas por dichas actividades. Este vínculo directo no existe en la relación entre Amazon EU y la Sucursal de Amazon. Por consiguiente, no sería correcto asumir que, debido a la función de la Sucursal de Amazon, Amazon EU estaría sujeta al ámbito de aplicación de la ley española de protección de datos. 22. Asimismo, el Abogado General Saugmandsgaard 0e reconoció que la sentencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24 del caso Google Spain no es comparable directamente con la configuración de las entidades de Amazon en su Dictamen del 2 de junio de 2016 en el que se examinó la aplicabilidad del Derecho austríaco a Amazon8. Si bien el Dictamen no es vinculante para el TJUE, supone un indicativo de que es improbable que el TJUE adopte un enfoque cada vez más amplio respecto a la cuestión de qué constituye un establecimiento con arreglo al artículo 4.1 (
3. a)de la Directiva de Protección de Datos en una situación en la que, la aplicabilidad de la legislación europea de protección de datos ya ha sido previamente determinada y reconocida. Este Dictamen se basa de hecho en la doctrina de la sentencia Google Spain y, precisamente basándose en dicha doctrina, el Abogado General afirma que dada la aplicabilidad de la ley de protección de datos de otro Estado miembro, la protección proporcionada por dicha ley cumple con los objetivos perseguidos. Dicho de otro modo, según el TJUE, lo que importa es que las salvaguardas contempladas por la legislación europea en materia de protección de datos estén presentes, y eso es lo que justifica la aplicación exclusiva de la ley luxemburguesa de protección de datos en nuestro caso concreto. Verein fur Konsumenteninformation http://curia.europa.eu/juris.... v Amazon EU Sari (Caso C-191/15); Véase: 23. Habida cuenta de las funciones específicas de las Entidades Luxemburguesas y la prueba para determinar el Derecho aplicable según ha dictaminado el TJUE y según ha interpretado el Grupo de Trabajo del Artículo 29, queda claro que el Derecho aplicable a las Entidades Españolas Encargadas de Tratamiento que tratan datos de clientes en calidad de encargadas del tratamiento de las Entidades Luxemburguesas es indudablemente el Derecho luxemburgués. Por lo que respecta a la Sucursal de Amazon, si bien se trata de un establecimiento, éste no trata datos personales de clientes en el marco de las actividades de un establecimiento de Amazon EU. Ello se debe a dos factores indiscutibles: la naturaleza de la actividad comercial de la Sucursal de Amazon no establece un vínculo directo entre las actividades de tratamiento y las personas afectadas por dichas actividades, según requiere la jurisprudencia del TJUE; e incluso sí tal fuera el caso -que no lo es- la Sucursal de Amazon no trata datos personales de clientes (…) 29. Por tanto, en un caso como el que aquí se plantea, y de acuerdo con la doctrina del TJUE, la competencia de la AEPD se limita a informar a la CNPD de la denuncia interpuesta, y esta última (y no la autoridad española), será quien deba intervenir sobre la base del Derecho que resulte aplicable. En efecto, en caso contrario, la posición de la AEPD contradiría la posición de otras autoridades de protección de datos de la UE que han reconocido la competencia de la CNPD en relación con Amazon EU y sus actividades en el conjunto de la UE. Por consiguiente, tanto desde un punto de vista jurídico como desde un punto de vista práctico, el resultado adecuado se alcanzará asegurando que la competencia de la CNPD se vea respaldada, y no socavada, por la AEPD. Resulta esencial para los fines de la seguridad jurídica, así como del tratamiento consistente de los interesados en la UE, que sobre esta base, la autoridad de protección de datos competente -en este caso, la CNPD- pueda llevar a cabo sus funciones de supervisión. CUARTA ALEGACIÓN: CUMPLIMIENTO CON LA LEY DE LUXEMBURGO Y, EN CUALQUIER CASO, NO INFRACCIÓN DE LA NORMATIVA. 30. Amazon EU es el responsable del tratamiento de datos (y en ningún caso lo es la Sucursal de Amazon ni ninguna otra de las Entidades Españolas Encargadas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 Tratamiento), por lo que la única forma de que la AEPD resuelva correctamente pasa porque la misma archive el Procedimiento Sancionador de referencia. Como mucho, si la AEPD finalmente considerase que podría existir algún potencial problema con las condiciones de uso y venta que se muestran en el Sitio Web AmazonBuyVIP (las "Condiciones de Uso y Venta de AmazonBuyVIP") bajo Derecho luxemburgués, la AEPD deberá remitir tal cuestión a la CNPD, de conformidad con lo dispuesto en el Artículo 28 de la Directiva de Protección de Datos (…) 34. No obstante, parece ser que ni la AEPD ni el Instituto Municipal de Consumo del Ayuntamiento de Madrid han revisado la versión completa del Aviso de Privacidad de AmazonBuyVlP que se muestra inmediatamente después de las Condiciones de Uso y Venta de AmazonBuyVlP en el Formulario de Registro de AmazonBuyVlP, y por tanto durante el procedimiento de registro. Por consiguiente, la AEPD no ha tenido en cuenta a la hora de alcanzar sus conclusiones toda la información de la que disponen los clientes durante el proceso de recogida de sus datos, lo que le ha llevado a un entendimiento parcial (y, por tanto, erróneo) del proceso de recogida y tratamiento de datos que realiza Amazon EU a través del Sitio Web AmazonBuyVlP (…) B. Amazon EU no trata datos personales de los clientes del Sitio Web AmazonBuyVIP para finalidades distintas de aquéllas detalladas en el Aviso de Privacidad de AmazonBuyVIP. 43. Los datos personales de los clientes del Sitio Web AmazonBuyVIP son tratados únicamente para las finalidades descritas en el Aviso de Privacidad de AmazonBuyVIP. Concretamente, el Aviso de Privacidad de AmazonBuyVIP no incluye referencia alguna a la posibilidad de enviar comunicaciones comerciales de otros sectores o en nombre de terceros básicamente porque Amazon EU no envía (ni nunca ha tenido intención de hacerlo) ese tipo de comunicaciones comerciales a sus clientes (…) 45. Los requisitos de la Ley Luxemburguesa sobre Comunicaciones Comerciales tienen su origen en la Directiva 2000/31/CE y han sido transpuestas de manera similar por la LOPD y el RLOPD. Teniendo en cuenta que Amazon EU únicamente envía comunicaciones comerciales a sus clientes cuando se encuentra legitimado para ello de conformidad con la Ley Luxemburguesa sobre Comunicaciones Comerciales, no existen argumentos para concluir la existencia de un incumplimiento de la Ley Luxemburguesa sobre Comunicaciones Comerciales, que es la ley aplicable en esta cuestión e, incluso no siendo aplicable, de la LOPD y el RLOPD (…) MEDIANTE EL PRESENTE ESCRITO SOLICITO que, teniendo por presentado este escrito junto con la documentación que a él acompaña, tenga por efectuadas, en tiempo y forma, las precedentes alegaciones y, en sus méritos, y previos los trámites oportunos, se acuerde lo siguiente: a)Ni la Sucursal de Amazon ni las Entidades Españolas Encargadas de Tratamiento son los responsables del tratamiento de los datos de los clientes del Sitio Web AmazonBuyVIP. b)La normativa española no resulta de aplicación al caso, sino únicamente la normativa luxemburguesa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 c)La CNPD es la autoridad competente en materia de protección de datos en el presente caso, y no la AEPD. d)La AEPD no puede imponer sanción alguna en este e)caso, debiendo archivar el Procedimiento Sancionador. La competencia de la AEPD en las presentes circunstancias debe limitarse a informar a la CNPD, según lo dispuesto en el artículo 28 de la Directiva de Protección de Datos, de la queja recibida si entiende que existen fundamentos para la misma. f)Sin perjuicio de las conclusiones anteriores y sin que suponga admisión alguna de la competencia de la AEPD ni de la aplicabilidad de la normativa española a este caso, no existe fundamento alguno para sostener que se ha producido un incumplimiento de (
4. i)La Ley Luxemburguesa de Protección de Datos ni de la Ley Luxemburguesa sobre Comunicaciones Comerciales; ni, (
5. ii)aun cuando no resulta de aplicación, del articulo 5 LOPD o de los artículos 15 y 45.1 .
6. b)RLOPD. g)El Procedimiento Sancionador debería ser archivado inmediatamente y no habría de imponerse sanción alguna a la Sucursal de Amazon…>> HECHOS PROBADOS PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo el denunciante) comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa (…) ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas AMAZON EU SARL (AMAZON EU SARL SUCURSAL EN ESPAÑA) (en lo sucesivo el denunciado) CLÁUSULA (…)

(1)“En general, utilizamos la información para gestionar pedidos, entregar productos y ofrecer servicios, procesar pagos, ponernos en contacto con usted en relación con pedidos, productos, servicios y ofertas promocionales, actualizar nuestros registros, realizar el mantenimiento de su cuenta en Amazon BuyVlP, mostrar contenidos y para recomendar productos y servicios que pudieran serle de interés” (Aviso de privacidad, tercer párrafo).

(2)“Cada vez que accedas al Sitio Web de Amazon BuyVIP o nos envíes un correo electrónico, estarás comunicándote electrónicamente con nosotros. Nosotros nos pondremos en contacto contigo mediante correo electrónico o mediante la publicación de avisos en nuestro Sitio Web. A efectos contractuales, estás consintiendo recibir comunicaciones de nuestra parte mediante medios electrónicos, y entiendes que todos los contratos, avisos y otras notificaciones que te enviemos por medios electrónicos cumplen con los mismos requisitos legales que si dichas comunicaciones se realizasen por escrito. Lo anterior no afecta a tus derechos legales” (condición de uso y venta 19) (…) COMENTARIO (…)

(1)La empresa hace constar que forma “parte del programa Safe Harbour, desarrollado por el Departamento de Comercio de Estados Unidos y la Unión Europea”, así como que pretende ajustarse a la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Ahora bien, Amazon incumple la exigencia legal de que el afectado haya solicitado o autorizado de modo expreso que se le envíen comunicaciones comerciales (art. 21.1 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, LSSI), requisito imprescindible ya que el fichero incluye entre sus finalidades algunas que no resultan necesarias para el mantenimiento o cumplimiento del contrato suscrito (art. 21.2 LSSI), el cual se circunscribe a la compra de un bien.

(2)Al aludir de modo genérico a comunicaciones, es razonable pensar que la empresa incluye las de naturaleza comercial. Por otro lado, puesto que no supedita este tipo de envíos al consentimiento explícito del afectado, debe considerarse que la cláusula no se ajusta a las normativas de protección de datos y de comercie electrónico. La salvedad que contiene el inciso final de esta segunda cláusula no es óbice para ello…>> (folios 1 a 10). SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos para darse de alta como socio y poder realizar compras. Este formulario de Amazon Buy Vip se encuentra alojada en Amazon.es registrada a nombre de Amazon Europe Holding Technologies SCS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 El formulario de recogida de datos tiene enlace a "Aviso de privacidad", "Términos y condiciones" y "Condiciones de Cookies y publicidad en internet". Estos se encuentran alojados en Buyvip.com registrado a nombre de Amazon Europe Holding Technologies SCS con sede en Luxemburgo, Buyvip.es también es de la citada entidad. El enlace "términos y condiciones" dirige al documento denominado "condiciones de uso y venta". En ningún documento se recoge la información del art. 5 además se obtiene consentimiento para publicidad sin indicar sectores ni habilitar casilla (folios 11 a 33). TERCERO: En el Informe de Actuaciones Previas de Inspección E/05791/2015, se recoge: <<…Entidades investigadas: AMAZON EU SARL SUCURSAL EN ESPAÑA con NIF W********** con domicilio en C/....1) (Madrid) AMAZON SPAIN SERVICES SL con NIF B******* con domicilio en (C/....2) (Madrid) AMAZON SPAIN FULFILLMENT SL con NIF B******* con domicilio en (C/....3) (Madrid) (…) 3. En el Registro Mercantil Central se obtiene información de las siguientes sociedades: 1.1. AMAZON SPAIN SERVICES SL, con fecha de comienzo de operaciones 1 de enero de 2006 y cuyo objeto social actualmente es “LA PRESTACION FUNDAMENTALMENTE A SOCIEDADES DEL GRUPO, DE ASISTENCIA Y SOPORTE EN RELACION CON SERVICIOS ADMINISTRATIVOS, DE CONTABILIDAD, FINANCIEROS, TECNICOS Y OTROS SERVICIOS TECNICOS CORPORATIVOS RELACIONADOS CON ACTIVIDADES DE MARKETING” 1.2. AMAZON SPAIN FULFILLMENT SL, con fecha de comienzo de operaciones 12 de noviembre de 1998 y cuyo objeto social actualmente es “LA PRESTACION DE SERVICIOS RELACIONADOS CON LAS ACTIVIDADES DE ALMACENAJE, RECOGIDA, EMPAQUETADO Y GESTION DE PEDIDOS DE CLIENTES Y PROVEEDORES”. 1.3. AMAZON EU SARL SUCURSAL EN ESPAÑA, con fecha de inicio de operaciones el 11 de febrero de 2015 y cuyo objeto social es “ADQUISICION Y DISTRIBUCION DE PRODUCTOS FISICOS Y SERVICIOS A TRAVES DE LAS PAGINAS WEB DE AMAZON.ES Y ES.BUYVIP.COM Y REALIZACION DE OPERACIONES COMERCIALES, INDUSTRIALES O FINANCIERAS, GESTION Y ADMINISTRACION DE DICHAS ACTIVIDADES…>> (folios 101 a 109). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 CUARTO: En la Acta de Inspección E/05791/2015/I-01 levantada a la entidad ASS se recoge: <<… 1. Los representantes de AMAZON SPAIN SERVICES, S.L., en adelante ASS, realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 1.1. La creación de AMAZON EU SARL SUCURSAL EN ESPAÑA, en adelante AEUESP en mayo de 2015 fue fruto de la decisión de AEU de asignar a dicha entidad determinadas funciones que anteriormente prestaba ASS para AMAZON EU SARL, en adelante AEU. Esas funciones son el apoyo a la gestión de las compras y relaciones con proveedores y soporte financiero de AEU para las compras realizadas a proveedores españoles. El servicio es de apoyo ya que el contrato del proveedor lo firma con AEU, no con AEUESP. 1.1. ASS tiene 144 empleados, AEUESP tiene 166 empleados y AEU tiene más de 1.000 empleados. 1.2. El contrato de prestación de servicios firmado entre ASS y AEU estipula una serie de servicios que pueden ser prestados a la última por ASS pero no todos los son o lo han sido. 1.3. Entre los servicios que sí presta ASS a AEU y a AEUESP están: 1.3.1.Gestión de personal (…) 1.3.2.Gestión de tesorería y caja 1.3.3.Asistencia para la contratación de seguros y servicios relacionados con éstos. 1.3.4.Planificación y gestión de impuestos 1.3.5.Asesoría legal (…) 1.3.6.Gestión de servicios de administración, financieros y de negocio (…) 1.3.7.Tratamiento de datos y gestión de documentos electrónicos Los servicios de informática del grupo están centralizados en Luxemburgo y las aplicaciones que se utilizan en ASS son las mismas que se utilizan en el resto de las entidades del grupo. Todos los sistemas de información del grupo son administrados y mantenidos por empleados de AEU en Luxemburgo y ninguna de las personas que trabaja en ASS dispone de un perfil de administrador de los sistemas de información. En cuanto a los datos personales a los que se tiene acceso a través de dichos sistemas de información, únicamente dos áreas tienen acceso: el departamento legal y el área denominada “Shopping and delivery experience” (un área cuya finalidad es analizar la experiencia de compra de los clientes del sitio web www.amazon.es). Dos miembros del departamento legal tienen un acceso restringido a la herramienta denominada Customer Services Central que les permite, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 los casos excepcionales en los que una reclamación presentada por un cliente no pueda ser resuelta por la atención al cliente de AEU. Ese acceso se utiliza únicamente cuando los datos facilitados por el servicio de atención al cliente no son suficientes para poder responder a la reclamación planteada. El área de “Shopping and delivery experience” trabaja generalmente con datos agregados de clientes ya que es lo más útil de cara a realizar su función, pero disponen de acceso a los datos de los clientes con la finalidad de poder comprobar detalles de casos concretos. 1.3.8.Marketing (…) 1.3.9.Relaciones con los clientes (…) 1.3.10.Asistencia técnica (…) 2. Los inspectores de la Agencia solicitan al representante de ASS que les permita el acceso al Customer Services Central en el que realizan las siguientes comprobaciones: 2.1. Uno de los usuarios del departamento legal accede al sistema. Se realiza una búsqueda de un usuario utilizando como criterio la dirección de correo electrónico de un cliente. Se observa que la ficha de cliente a la que puede acceder tiene, en diferentes pestañas, datos sobre pedidos, métodos de pago, transacciones, devoluciones y reembolsos, direcciones, suscripciones, anotaciones, dispositivos y biblioteca digital. Se adjunta como documento comprobaciones realizadas. B.B.B. impresión de pantalla con las 2.2. Uno de los usuarios del departamento de “Shopping and delivery experience” accede al sistema. Se realiza una búsqueda de un cliente utilizando como criterio su identificador de cliente. Se observa que la ficha de cliente a la que puede acceder tiene las mismas pestañas y datos que la anterior, además de una nueva denominadas “Listas” que contiene las listas de productos deseados por el cliente (“Wishlist”). Se adjunta como documento A.A.A. impresión de pantalla con las comprobaciones realizadas…>> (folios 70 a 83). QUINTO: En la Acta de Inspección E/05791/2015/I-0 levantada a la entidad ASF se recoge: <<… 2. Los inspectores comunican al representante de AMAZON SPAIN FULFILLMENT SL, en adelante ASF, que su visita tiene relación con la resolución de cierre de la tutela de derechos TD/00622/2015. 3. Los representantes de ASF realizan las siguientes manifestaciones en respuesta a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 las cuestiones planteadas por los inspectores: 3.1. ASF no tiene relación con AMAZON SPAIN SERVICES en su operativa ni en lo que al tratamiento de datos de refiere. Ambas entidades tratan datos para AMAZON EU SARL, en adelante AEU, pero sus procesos de negocio son independientes. 3.2. ASF tiene 493 empleados 3.3. ASF realiza tareas relacionadas con la logística del empaquetado, etiquetado, envíos y devoluciones de los productos adquiridos en el sitio web www.amazon.es y el resto de los sitios web de AEU. 3.4. En el sitio web www.amazon.es se venden productos tanto comercializados directamente por AEU como por diferentes vendedores o “sellers”…>> (folios 88 a 98). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se imputaba a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento en el marco de una relación contractual para el tratamiento de datos con fines no relacionados directamente con la relación contratada, viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
9. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. III El art. 15 de RLOPD impone la obligación de facilitar al interesado la posibilidad de que pueda mostrar expresamente su negativa al tratamiento de datos para fines no relacionados directamente con el mantenimiento de la relación contractual en el propio contrato, “durante el proceso de formación de un contrato”. En este sentido la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, ha declarado lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante”. Así las cosa dicha cláusula informativa no especificaba los sectores de actividad respecto de los que podía recibir información incumpliendo lo dispuesto en el art. 45.1.b RLOPD El citado artículo 5) de la LOPD establece que los interesados a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. En el presente caso, en la web del denunciado, el enlace "términos y condiciones" dirige al documento denominado "condiciones de uso y venta". En ningún documento de la citada web se recoge la información a que se refiere el art. 5 de la LOPD, además se obtiene consentimiento para publicidad sin indicar sectores ni habilitar casilla. IV El artículo 2.1 de la LOPD, Ámbito de aplicación, establece: 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
10. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
11. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
12. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” V En la Propuesta de Resolución de 26/05/2016 se argumentaba la competencia de la Agencia Española de Protección de Datos en base a la doctrina de la Audiencia Nacional, en Sentencia de 2 de diciembre de 2014 (recurso 363/2010) y del Tribunal Supremo, en Sentencia 210/2016 de la Sala de lo Civil, de 5 de abril de 2016 (recurso 3269/2014 No obstante, con posterioridad a la Propuesta de Resolución, el Tribunal Supremo, en Sentencia de la Sala de lo Contencioso-Administrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado al respecto de la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24 con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
13. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
14. d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
15. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
16. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
17. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
18. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> VI El Grupo de Protección de Datos del art. 29 en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III. <<…Análisis de las disposiciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24 La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición(disposiciones) nacional(
19. es)de protección de datos aprobada(
20. s)para la aplicación de la Directiva puede(
21. n)aplicarse al tratamiento de datos personales III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra a)) (…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 Así mismo en la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015 en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> Habiendo quedado acreditado que: <<…La creación de AMAZON EU SARL SUCURSAL EN ESPAÑA, en adelante AEUESP en mayo de 2015 fue fruto de la decisión de AEU de asignar a dicha entidad determinadas funciones que anteriormente prestaba ASS para AMAZON EU SARL, en adelante AEU. Esas funciones son el apoyo a la gestión de las compras y relaciones con proveedores y soporte financiero de AEU para las compras realizadas a proveedores españoles. El servicio es de apoyo ya que el contrato del proveedor lo firma con AEU, no con AEUESP (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 Todos los sistemas de información del grupo son administrados y mantenidos por empleados de AEU en Luxemburgo y ninguna de las personas que trabaja en ASS dispone de un perfil de administrador de los sistemas de información…>> Por todo ello, en base a dicho Dictamen, la Sentencia referida y a las alegaciones del denunciado, en este caso cabe concluir que resulta de aplicación el derecho de Luxemburgo, ya que el tratamiento de los datos que realiza AMAZON EU SARL SUCURSAL EN ESPAÑA se efectúa bajo las instrucciones de AMAZON EU SARL. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento a la entidad AMAZON EU SARL (AMAZON EU SARL SUCURSAL EN ESPAÑA). SEGUNDO: NOTIFICAR la presente resolución a AMAZON EU SARL (AMAZON EU SARL SUCURSAL EN ESPAÑA) y al INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es