← España

PS-00676-2015

1/16 Procedimiento Nº PS/00676/2015 RESOLUCIÓN: R/01318/2016 En el procedimiento sancionador PS/00676/2015, instruido por la Agencia Española de Protección de Datos a la entidad LETS BONUS, S.L., vista la denuncia presentada por el INSTITUTO MUNICIPAL DE CONSUMO, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del Instituto Municipal de Consumo del Ayuntamiento de Madrid (en lo sucesivo el denunciante) comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa (…) ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas LETS BONUS, S.L. (en lo sucesivo el denunciado) CLÁUSULA (…) “En cumplimiento de lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos le informamos que sus datos personales quedarán incorporados y serán tratados en los ficheros de LetsBonus, con el fin de poderle prestar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 y ofrecer nuestros servicios, mediante la entrega de la dirección de correo electrónico u otros datos personales, requisito necesario para la contratación de ciertos servicios, los Usuarios Clientes dan su permiso para que dichas direcciones sean tratadas y además, utilizadas para enviar comunicaciones comerciales de promoción o publicidad de los servicios y productos ofrecidos por LetsBonus” (término general 11, primer párrafo). Tras informar de la existencia y titularidad del fichero de datos de carácter personal creado al efecto, se hace constar que “La finalidad de dicho fichero es gestionar la relación contractual con LetsBonus, así como la realización de actividades promocionales y publicitarias propias o de terceros mediante cualquier medio” (término general 14, primer párrafo). Entre las finalidades del fichero creado se incluye la consistente en “la remisión periódica, por medios electrónicos, de información relativa a nuestras ofertas y los planes ofrecidos en nuestra website así como información relativa a ofertas y planes de terceras empresas con las que hayamos alcanzado algún acuerdo de promoción comercial y que se refieran a productos y servicios similares a los ofrecidos a través de nuestra website (planes de espectáculos, viajes, tecnología, escapadas, cursos o boutique de productos, entre otros)” (política de privacidad. segundo párrafo). “Los usuarios clientes que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a las empresas del grupo LetsBonus para la realización de actividades propias de su objeto social en el sector de ocio. Los usuarios quedan informados que dicha comunicación puede producirse en el mismo momento en que proporcionan los datos a LetsBonus” (término general 11, primer párrafo) (…) COMENTARIO (…) Se constatan dos irregularidades: 1. No cabe considerar que sea legítimo que el tratamiento de datos personales incluya la finalidad de realizar actividades promocionales y publicitarias; en la medida en que se trata de una finalidad ajena a la ejecución del contrato suscrito por el consumidor al adquirir determinada promoción, se precisa “el consentimiento inequívoco del afectado” (art. 6.1 LOPD); sin embargo, no consta que la empresa recabe tal requisito. 2. Las tres cláusulas transcritas prevén el envío de comunicaciones comerciales no solicitadas ni autorizadas expresamente por su destinatario que se realicen a través de correo electrónico o medios de comunicación electrónica equivalentes. Pues bien, no consta tampoco que la empresa ofrezca al afectado, en el momento de la recogida de sus datos, el procedimiento de oposición al que hace referencia el art. 21.2, segundo párrafo, LSSI. Al no recabar el consentimiento previo del afectado para la comunicación a terceros de los datos recogidos, la empresa vulnera el requisito establecido por el art. 11.1 LOPD, que resulta aplicable como consecuencia de que dicho tratamiento no responde “a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros” [art. 11 .2.

  1. c)LOPD]. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 La cesión a terceros requiere el consentimiento previo del afectado, ya que la ejecución del contrato no precisa la conexión con ficheros de terceros…>> SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos con casilla para aceptar las condiciones y política de privacidad. En la política de privacidad se informa que se remitirá publicidad propia y de terceros indicando algunos sectores pero no se indica la totalidad de los sectores respecto de los que se puede recibir publicidad. En el documento de términos generales también se indica que se utilizaran los datos para publicidad sin indicar ningún sector. Se recoge consentimiento para cesión a empresas del grupo con la finalidad de que realicen actividades de su objeto social en el sector del ocio. Puede entenderse que se trata de empresas del sector del ocio pero la finalidad de la cesión no está determinada. TERCERO: Con fecha 17 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) en relación con el artículo 11.3 de la LOPD y el 45.1.
  2. b)del Reglamento que la desarrolla aprobado por RD 1720/2007 de 21 de diciembre, tipificada como leve en el artículo 44.2.
  3. c)de la citada Ley Orgánica, pudiendo ser sancionada, con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada ley. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 13/01/2016 formuló alegaciones, significando que: <<…En particular, en el momento de la recogida de los datos personales de los usuarios que desean registrarse en la web de LetsBonus, se incluye una casilla, desmarcada por defecto, con el texto: “Acepto la Política de Privacidad / Términos Generales de Uso” y se habilita un enlace que redirige a los usuarios a los textos legales de la web, de tal forma que si los usuarios no marcan dicha casulla, aceptando expresamente los Términos Generales de Uso y la Política de Privacidad, no es posible completar su registro en la página web de la empresa. Acreditando lo anterior, adjuntamos al presente escrito una captura de pantalla de la información facilitada en el momento de recogida de los datos de los usuarios y se acompaña como Anexo I una versión de la Política de Privacidad accesible a través del siguiente enlace: (…), en la que se informa claramente de la existencia de un fichero de datos personales del que es responsable Let’s Bonus, S.L.U., así como de las finalidades del tratamiento de datos, y de la forma de ejercer los derechos de acceso, rectificación, cancelación y oposición, entre otros contenidos (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Esta parte no puede estar de acuerdo con esta afirmación puesto que, como se concluye del primer punto del presente escrito, los usuarios registrados en la página web de LetsBonus han prestado de forma previa su consentimiento expreso al tratamiento de sus datos de carácter personal, de conformidad con las previsiones de la Política de Privacidad y los Términos Generales de Uso de Let’s Bonus, clicando en la casulla “Acepto la Política de Privacidad/ Términos Generales de Uso” (…) No obstante, teniendo en cuenta lo señalado por la Directora de la Agencia Española de Protección de Datos en el Acuerdo de inicio de procedimiento sancionador que trae causa del presente escrito, y en aras a aportar una mayor claridad sobre este punto, les informamos que la Política de Privacidad de LetsBonus ha sido modificada para eliminar la expresión “entre otros”, en cuanto las comunicaciones comerciales remitidas a los usuarios únicamente hacen referencia a los sectores detallados expresamente en dicho texto legal. Puede consultarse una versión actualizada de la Política de Privacidad, tanto en el Anexo 1 como a través del siguiente enlace:(…) Por otro lado, en cumplimiento del artículo 21.2, segundo párrafo, de la LSSI, además de ofrecer dichos derechos en el momento de la recogida de los datos de carácter personal, LetsBonus ofrece, en todo momento, a los destinatarios de las comunicaciones comerciales, la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito en cada una de las comunicaciones comerciales remitidas. Acreditando lo anterior, se adjunta a continuación una captura de pantalla de la información contenida en el pie de todos y cada uno de los correos electrónicos promocionales que se envían a los usuarios (…) En primer lugar, ponemos de manifiesto que los Términos Generales de Uso a los que hace referencia la denunciante fueron modificados en su día con el fin de adaptarlos a la actual Política de Privacidad, eliminando cualquier regulación sobre el tratamiento de datos de carácter personal de los usuarios, que en cualquier caso ya se regula específicamente en la Política de Privacidad. Así, a la fecha del presente escrito, ni los Términos Generales de Uso ni la Política de Privacidad prevén cesión alguna de datos a las empresas del grupo LetsBonus. Puede accederse a una versión actualizada de los Términos Generales de Uso de LetsBonus a través del siguiente enlace (…) Finalmente, se pone de manifiesto a los efectos oportunos que, en el supuesto de que se considerara nulo el consentimiento otorgado por los usuarios para la comunicación de sus datos personales a las empresas del grupo LetsBonus, de conformidad con el artículo 11.3 LOPD, el efecto práctico también sería nulo, puesto que la previsión de la comunicación de datos personales a empresas del grupo LetsBonus que contenía los anteriores Términos Generales de Uso fue eliminada porque en la práctica, y hasta la fecha de hoy, nunca ha tenido lugar ninguna cesión de datos personales a ninguna empresa del grupo…>> (el subrayado es de la AEPD). QUINTO: Iniciado el período de práctica de pruebas, se accede al sitio web https://es.letsbonus.com obteniendo el documento “Términos generales de uso”, en su apartado 12. Protección de Datos de Carácter, en el primer párrafo se recoge: “…La finalidad de dicho fichero es gestionar la relación contractual con LetsBonus, así como la realización de actividades promocionales y publicitarias propias o de terceros mediante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 cualquier medio…” Así como la cláusula de Política de privacidad en la que se recoge: “…- la remisión periódica, por medios electrónicos, de información relativa a nuestras ofertas y los planes ofrecidos en nuestra website así como información relativa a ofertas y planes de terceras empresas con las que hayamos alcanzado algún acuerdo de promoción comercial y que se refieran a productos y servicios similares a los ofrecidos a través de nuestra website (planes de salud y belleza, restauración, ocio y actividades, espectáculos, viajes, tecnología, escapadas, cursos o boutique de productos)…” (el subrayado es de la AEPD). SEXTO: Con fecha 13/04/2016 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 10.000 € (diez mil euros) al denunciado, por la infracción del artículo 5, en relación con el artículo 11.3 de la LOPD y 45.1.
  4. b)del Reglamento de desarrollo de dicha Ley Orgánica, tipificada como leve en el artículo 44.2.
  5. c)de la misma norma. SÉPTIMO: Con fecha de puesta en el Servicio de Correos de 6/05/2016 de entrada en la Agencia el 10/05/2016, el denunciado realizó alegaciones frente a la citada propuesta de resolución en la que comunica: <<…En este sentido, y de conformidad con lo dispuesto en el artículo 18 del RLOPD, esta parte acredita el cumplimiento de la obligación de información del artículo 5 de la LOPD mediante la siguiente captura de pantalla en la que puede comprobarse que, si los usuarios no declaran haber aceptado la Política de Privacidad en el formulario de recogida al clicar “Activa tu cuenta LetsBonus” les aparecen marcada en rojo la casilla “Acepto la Política de Privacidad/Términos Generales de Uso”, no pudiendo darse de alta como nuevos usuarios de la web de LetsBonus (…) Por último, teniendo en cuenta que los Términos Generales de Uso fueron modificados en su día con el fin de adaptarlos a la actual Política de Privacidad, eliminando cualquier regulación sobre el tratamiento de datos de carácter personal de los usuarios, y en particular, la finalidad de cesión de los datos de los usuarios a empresas del grupo LetsBonus, entendemos que esta parte ha regularizado la situación irregular detectada por la Agenda de forma diligente y que actualmente se da pleno cumplimiento al artículo 5 de la LOPD en relación al artículo 11.3 de la LOPD (...) Señalamos de nuevo que, no obstante lo anterior y teniendo en cuenta la resolución de la Directora de la Agencia en el acuerdo de inicio del presente procedimiento sancionador, de fecha 17 de diciembre de 2015, la Política de Privacidad se modificó inmediatamente para eliminar la expresión “entre otros”, puesto que las comunicaciones comerciales remitidas a los usuarios únicamente hacen referencia a los sectores detallados expresamente en dicho texto legal…>> HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 PRIMERO: Con fecha 22/01/2015 tiene entrada en esta Agencia escrito del denunciante comunicando: <<…En el marco de la actividad de control de bienes y servicios puestos a disposición de los consumidores realizada por el Ayuntamiento de Madrid, este Instituto Municipal de Consumo ha analizado las condiciones de contratación y la restante documentación contractual utilizada en su actividad comercial con consumidores tanto por determinadas empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos. En Anexo a este escrito se detallan las presuntas irregularidades en materia de protección de datos detectadas en la respectiva política de privacidad de las catorce empresas que se mencionan en él, así como las direcciones web en las que se incluye la política de privacidad utilizada por cada empresa. Las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa (…) ANEXO IRREGULARIDADES DETECTADAS EN MATERIA DE PROTECCIÓN DE DATOS EN LA DOCUMENTACIÓN CONTRACTUAL UTILIZADA POR WEBS DE DESCUENTOS Y OTRAS EMPRESAS DE VENTA A DISTANCIA” Entre ellas LETS BONUS, S.L. (en lo sucesivo el denunciado) CLÁUSULA (…) “En cumplimiento de lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos le informamos que sus datos personales quedarán incorporados y serán tratados en los ficheros de LetsBonus, con el fin de poderle prestar y ofrecer nuestros servicios, mediante la entrega de la dirección de correo electrónico u otros datos personales, requisito necesario para la contratación de ciertos servicios, los Usuarios Clientes dan su permiso para que dichas direcciones sean tratadas y además, utilizadas para enviar comunicaciones comerciales de promoción o publicidad de los servicios y productos ofrecidos por LetsBonus” (término general 11, primer párrafo). Tras informar de la existencia y titularidad del fichero de datos de carácter personal creado al efecto, se hace constar que “La finalidad de dicho fichero es gestionar la relación contractual con LetsBonus, así como la realización de actividades promocionales y publicitarias propias o de terceros mediante cualquier medio” (término general 14, primer párrafo). Entre las finalidades del fichero creado se incluye la consistente en “la remisión periódica, por medios electrónicos, de información relativa a nuestras ofertas y los planes ofrecidos en nuestra website así como información relativa a ofertas y planes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 terceras empresas con las que hayamos alcanzado algún acuerdo de promoción comercial y que se refieran a productos y servicios similares a los ofrecidos a través de nuestra website (planes de espectáculos, viajes, tecnología, escapadas, cursos o boutique de productos, entre otros)” (política de privacidad. segundo párrafo). “Los usuarios clientes que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a las empresas del grupo LetsBonus para la realización de actividades propias de su objeto social en el sector de ocio. Los usuarios quedan informados que dicha comunicación puede producirse en el mismo momento en que proporcionan los datos a LetsBonus” (término general 11, primer párrafo) (…) COMENTARIO (…) Se constatan dos irregularidades: 1. No cabe considerar que sea legítimo que el tratamiento de datos personales incluya la finalidad de realizar actividades promocionales y publicitarias; en la medida en que se trata de una finalidad ajena a la ejecución del contrato suscrito por el consumidor al adquirir determinada promoción, se precisa “el consentimiento inequívoco del afectado” (art. 6.1 LOPD); sin embargo, no consta que la empresa recabe tal requisito. 2. Las tres cláusulas transcritas prevén el envío de comunicaciones comerciales no solicitadas ni autorizadas expresamente por su destinatario que se realicen a través de correo electrónico o medios de comunicación electrónica equivalentes. Pues bien, no consta tampoco que la empresa ofrezca al afectado, en el momento de la recogida de sus datos, el procedimiento de oposición al que hace referencia el art. 21.2, segundo párrafo, LSSI. Al no recabar el consentimiento previo del afectado para la comunicación a terceros de los datos recogidos, la empresa vulnera el requisito establecido por el art. 11.1 LOPD, que resulta aplicable como consecuencia de que dicho tratamiento no responde “a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros” [art. 11 .2.
  6. c)LOPD]. La cesión a terceros requiere el consentimiento previo del afectado, ya que la ejecución del contrato no precisa la conexión con ficheros de terceros…>> (folios 1 a 10). SEGUNDO: A la vista de la documentación recibida se tiene conocimiento de que la web del denunciado tiene formulario de recogida de datos con casilla para aceptar las condiciones y política de privacidad. En la política de privacidad se informa que se remitirá publicidad propia y de terceros indicando algunos sectores pero no se indica la totalidad de los sectores respecto de los que se recibirá publicidad. En el documento de términos generales también se indica que se utilizaran los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 datos para publicidad sin indicar ningún sector. Se recoge consentimiento para cesión a empresas del grupo con la finalidad de que realicen actividades de su objeto social en el sector del ocio. Puede entenderse que se trata de empresas del sector del ocio pero la finalidad de la cesión no está determinada (folios 11 a 32). TERCERO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 13/01/2016 formuló alegaciones, significando que: <<…Esta parte no puede estar de acuerdo con esta afirmación puesto que, como se concluye del primer punto del presente escrito, los usuarios registrados en la página web de LetsBonus han prestado de forma previa su consentimiento expreso al tratamiento de sus datos de carácter personal, de conformidad con las previsiones de la Política de Privacidad y los Términos Generales de Uso de Let’s Bonus, clicando en la casulla “Acepto la Política de Privacidad/ Términos Generales de Uso” (…) No obstante, teniendo en cuenta lo señalado por la Directora de la Agencia Española de Protección de Datos en el Acuerdo de inicio de procedimiento sancionador que trae causa del presente escrito, y en aras a aportar una mayor claridad sobre este punto, les informamos que la Política de Privacidad de LetsBonus ha sido modificada para eliminar la expresión “entre otros”, en cuanto las comunicaciones comerciales remitidas a los usuarios únicamente hacen referencia a los sectores detallados expresamente en dicho texto legal. Puede consultarse una versión actualizada de la Política de Privacidad, tanto en el Anexo 1 como a través del siguiente enlace:(…) Por otro lado, en cumplimiento del artículo 21.2, segundo párrafo, de la LSSI, además de ofrecer dichos derechos en el momento de la recogida de los datos de carácter personal, LetsBonus ofrece, en todo momento, a los destinatarios de las comunicaciones comerciales, la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito en cada una de las comunicaciones comerciales remitidas. Acreditando lo anterior, se adjunta a continuación una captura de pantalla de la información contenida en el pie de todos y cada uno de los correos electrónicos promocionales que se envían a los usuarios (…) En primer lugar, ponemos de manifiesto que los Términos Generales de Uso a los que hace referencia la denunciante fueron modificados en su día con el fin de adaptarlos a la actual Política de Privacidad, eliminando cualquier regulación sobre el tratamiento de datos de carácter personal de los usuarios, que en cualquier caso ya se regula específicamente en la Política de Privacidad. Así, a la fecha del presente escrito, ni los Términos Generales de Uso ni la Política de Privacidad prevén cesión alguna de datos a las empresas del grupo LetsBonus. Puede accederse a una versión actualizada de los Términos Generales de Uso de LetsBonus a través del siguiente enlace…>> (el subrayado es de la AEPD) (folios 53 a 60). CUARTO: Iniciado el período de práctica de pruebas, se accede al sitio web https://es.letsbonus.com obteniendo el documento “Términos generales de uso”, en su apartado 12. Protección de Datos de Carácter Personal, en el primer párrafo se recoge: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 “…La finalidad de dicho fichero es gestionar la relación contractual con LetsBonus, así como la realización de actividades promocionales y publicitarias propias o de terceros mediante cualquier medio…” Así como la cláusula de Política de privacidad en la que se recoge: “…- la remisión periódica, por medios electrónicos, de información relativa a nuestras ofertas y los planes ofrecidos en nuestra website así como información relativa a ofertas y planes de terceras empresas con las que hayamos alcanzado algún acuerdo de promoción comercial y que se refieran a productos y servicios similares a los ofrecidos a través de nuestra website (planes de salud y belleza, restauración, ocio y actividades, espectáculos, viajes, tecnología, escapadas, cursos o boutique de productos)…” (el subrayado es de la AEPD). (folios 64 a 78 y 83 a 85). QUINTO: Con fecha 1/06/2016 se accede a la pantalla de registro de los ciudadanos en la web del denunciado en la que se comunica (folio 132): FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  7. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 II Se imputa a la entidad denunciada una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  8. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  9. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  10. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  11. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  12. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  13. c)y
  14. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, el denunciado debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento en el marco de una relación contractual para el tratamiento de datos con fines no relacionados directamente con la relación contratada, viene recogida en el art. 15 del RLOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
  15. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. III En el caso que nos ocupa se ha podido comprobar que el denunciado incumplía lo dispuesto en el artículo 5 LOPD, en relación con el artículo 11.3 de la LOPD y 45.1.
  16. b)del RLOPD, en la medida en que disponía de formularios de recogidas de datos en los que se ofrecía una información en materia de protección de datos que no se ajustaba a las previsiones normativas reseñadas a la fecha en que fue recibida la denuncia en esta Agencia. Teniendo en cuenta las alegaciones manifestadas por el denunciado en el escrito de alegaciones (“…en aras a aportar una mayor claridad sobre este punto, les informamos que la Política de Privacidad de LetsBonus ha sido modificada para eliminar la expresión “entre otros”, en cuanto las comunicaciones comerciales remitidas a los usuarios únicamente hacen referencia a los sectores detallados expresamente en dicho texto legal. Puede consultarse una versión actualizada de la Política de Privacidad, tanto en el Anexo 1 como a través del siguiente enlace:(…) Por otro lado, en cumplimiento del artículo 21.2, segundo párrafo, de la LSSI, además de ofrecer dichos derechos en el momento de la recogida de los datos de carácter personal, LetsBonus ofrece, en todo momento, a los destinatarios de las comunicaciones comerciales, la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito en cada una de las comunicaciones comerciales remitidas. Acreditando lo anterior, se adjunta a continuación una captura de pantalla de la información contenida en el pie de todos y cada uno de los correos electrónicos promocionales que se envían a los usuarios (…) En primer lugar, ponemos de manifiesto que los Términos Generales de Uso a los que hace referencia la denunciante fueron modificados en su día con el fin de adaptarlos a la actual Política de Privacidad, eliminando cualquier regulación sobre el tratamiento de datos de carácter personal de los usuarios, que en cualquier caso ya se regula específicamente en la Política de Privacidad. Así, a la fecha del presente escrito, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 ni los Términos Generales de Uso ni la Política de Privacidad prevén cesión alguna de datos a las empresas del grupo LetsBonus. Puede accederse a una versión actualizada de los Términos Generales de Uso de LetsBonus a través del siguiente enlace…>> (el subrayado es de la AEPD). Debe considerarse que en presente procedimiento se imputa una infracción del art. 5, falta de información en la recogida de datos (leve) y no una cesión de datos (grave). Finalmente, procede reseñar que las deficiencias señaladas anteriormente han sido regularizadas durante la tramitación del procedimiento, aunque ello no exonera de responsabilidad por la infracción que se declara, ya consumada en el momento de la apertura. Se tiene en cuenta, en cambio, para la graduación de la sanción. La falta de información sobre los sectores de actividad a los que se referirá la publicidad que remita a clientes y usuarios de la web ha sido corregida en la Política de Privacidad insertada en la misma, en la que se indica: “…la remisión periódica, por medios electrónicos, de información relativa a nuestras ofertas y los planes ofrecidos en nuestra website así como información relativa a ofertas y planes de terceras empresas con las que hayamos alcanzado algún acuerdo de promoción comercial y que se refieran a productos y servicios similares a los ofrecidos a través de nuestra website (planes de salud y belleza, restauración, ocio y actividades, espectáculos, viajes, tecnología, escapadas, cursos o boutique de productos)…” Asimismo, el denunciado en el formulario de “Crea tu cuenta” incorpora una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso (se estima conveniente recomendar al denunciado que incorpore también a este formulario la casilla con la indicación “acepto recibir ofertas de…”). IV El artículo 44.2.
  17. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, el denunciado recaba datos personales sin facilitar a sus titulares la información que señala el artículo 5 en relación con el artículo 11.3 de la LOPD y 45 del Reglamento de desarrollo de dicha Ley Orgánica, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada, que es una empresa mediana y que ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, en relación con la información facilitada al recabar datos personales mediante los formularios insertados en su web, procediendo la imposición de una multa por importe de 1.300 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad LETS BONUS, S.L., por una infracción del artículo 5, en relación con el artículo 11.3 de la LOPD y 45.1.
  28. b)del Reglamento de desarrollo de dicha Ley Orgánica, tipificada como leve en el artículo 44.2.
  29. c)de la LOPD, una multa 1.300 € (mil trescientas euros), de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a LETS BONUS, S.L., y a INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.