1/15 Procedimiento Nº PS/00695/2015 RESOLUCIÓN: R/00291/2016 En el procedimiento sancionador PS/00695/2015, instruido por la Agencia Española de Protección de Datos a la entidad ENPLANCUPON, S.C., vista la denuncia presentada por la entidad INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015, tuvo entrada en esta Agencia un escrito del Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, en el que pone de manifiesto que, en el marco de una actividad de control de bienes y servicios puestos a disposición de los consumidores, el citado Instituto ha analizado las condiciones de contratación y demás documentación contractual utilizada por empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos, habiéndose detectado irregularidades que afectan a las cláusulas de privacidad que utilizan algunos de los prestadores investigados, en las cuales se aprecia posible vulneración de obligaciones o requisitos establecidos por la Ley Orgánica 15/1999, de 13 diciembre, de protección de datos de carácter personal (en lo sucesivo LOPD) y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 diciembre. Según el Instituto Municipal de Consumo, las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa. En relación con la entidad ENPLANCUPON, S.C., a través de la web www.enplancupon.com, accedieron a la cláusula informativa contenida en la Política de Privacidad. De la información accedida, el citado Instituto Municipal de Consumo destaca la siguiente: “Al darse de alta al servicio, el Usuario consiente a que le enviemos ciertas comunicaciones comerciales relativas a los Servicios de ENPLANCUPON.COM o su cuenta, lo que incluye mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM” (Privacidad, Comunicaciones comerciales)”. A este respecto, considera dicho Instituto que <<esta previsión de consentimiento tácito incumple la exigencia de “consentimiento inequívoco del afectado” (art. 6.1 LOPD), requisito que es imprescindible como consecuencia de que no se precisa el envío de comunicaciones comerciales para la ejecución de la relación jurídica suscrita por el consumidor, que consiente en la contratación de determinada oferta comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Esta cláusula, incluida en la política de privacidad de En Plan Cupón, contradice la n° 8 de sus condiciones generales, conforme a la cual “La recogida y tratamiento de los datos personales siempre tendrán por finalidad gestionar las consultas o solicitudes que Usted dirija..., controlar el cumplimiento de las condiciones de uso y cumplir nuestras obligaciones legales. Si existieran finalidades adicionales en los formularios donde se recaben sus datos, usted será informado”>>. SEGUNDO: A la vista de los hechos denunciados, por la Subdirección General de Inspección de Datos se llevaron a cabo las siguientes actuaciones: . Con fecha 20/05/0015, se comprueba, a través de la página web http://who.is, que la titularidad del dominio www.enplancupon.com corresponde a una persona física, con el mismo domicilio de la sociedad civil ENPLANCUPON, S.C. . Con fecha 20/05/2015, se incorpora a las actuaciones copia impresa de los documentos denominados “Política de Privacidad”, “Términos generales de uso” y “Condiciones Generales”. En este último, en el apartado “Información de titularidad”, y en el documento de “Términos generales de uso” se indica que la web y el sistema de venta de cupones son gestionados por ENPLANCUPON, S.C. El documento “Política de Privacidad” contiene, entre otras indicaciones, la siguiente información en materia de protección de datos personales: “Comunicaciones Comerciales Al darse de alta al servicio, el Usuario consiente a que le enviemos ciertas comunicaciones comerciales relativas a los Servicios de ENPLANCUPON.COM o su cuenta, lo que incluye mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM En cada comunicación indicamos cómo el Usuario puede optar por no recibir comunicaciones a las cuales se encuentra registrado. Fecha de última actualización. Este acuerdo se actualizó por última vez el 22 de enero de 2013”. La misma información sobre las comunicaciones comerciales se incluye en el documento de “Términos generales de uso”, que también añade lo siguiente: “11. Protección de datos personales Serán objeto de tratamiento e incorporados en ficheros de ENPLANCUPON.COM los datos personales que facilite a través de este sitio web. La recogida y tratamiento de los datos personales siempre tendrán por finalidad gestionar las consultas o solicitudes que Usted dirija a ENPLANCUPON.COM, controlar el cumplimiento de las condiciones de uso de ENPLANCUPON.COM y cumplir nuestras obligaciones legales. Si existieran finalidades adicionales en los formularios donde se recaben sus datos, usted será informado pudiendo dirigirse por la web o por escrito al domicilio social antes indicado, para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, indicando en el asunto “Protección de datos personales”, adjuntando copia de documento que acredite su identidad”. . También con fecha 20/05/2015, se incorporó a las actuaciones el formulario de recogida de datos personales insertado en el sitio web www.enplancupon.com para el registro de usuarios, que no incluye ninguna casilla para aceptar los documentos antes citados ni para oponerse al envío de comunicaciones comerciales. . Con fecha 28/07/2015, se incorporó a las actuaciones el formulario de recogida de datos personales insertado en el sitio web www.enplancupon.com para que el usuario pueda contactar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 con la entidad, que incluye una casilla para aceptar los términos y condiciones, así como una indicación según la cual se informa que el envío del formulario supone la aceptación de la política de privacidad. Según lo expuesto, se comprueba que la Política de Privacidad informa que se remitirán comunicaciones comerciales, pero no indica los sectores de actividad a los que se referirá la publicidad. Por otra parte, el formulario insertado en la web para el registro de usuarios no incluye ninguna casilla para aceptar los documentos los documentos denominados “Política de Privacidad”, “Términos generales de uso” y “Condiciones Generales”, ni para oponerse al envío de comunicaciones comerciales. Parece oportuno que toda la información estuviera contenida en el documento “Política de Privacidad” para simplificar el procedimiento de registro. TERCERO: Con fecha 14/12/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ENPLANCUPON, S.C., por la presunta infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45.1.
- b)del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la misma. CUARTO: La notificación del acuerdo de inicio reseñado, que fue remitida al domicilio que figuraba en la web www.enplancupon.com, no puedo llevarse a efecto, siendo devuelta por la empresa que presta servicio de correspondencia. Por este motivo, dicha notificación se realizó siguiendo el procedimiento previsto en los artículos 59 y siguientes de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. QUINTO: Con fecha 09/02/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, y por incorporados los documentos obtenidos por la Subdirección General de Inspección de Datos en fechas 20/05/2015 y 28/07/2015. Por otra parte, el instructor del procedimiento accedió al sitio web www.enplancupon.com y obtuvo copia de la información insertada en su página principal, de los documentos “Términos generales de uso” y “Política de Privacidad”, que contienen la misma información reseñada en los Antecedentes Primero y Segundo, así como de los formularios de “Contacto” (recaba datos relativos nombre, email y teléfono), “Registro” y “Suscríbete” (ambos con campos habilitados para que el interesado facilite sus datos personales relativos a nombre de usuario, email y ciudad). Se comprobó que estos formularios no contienen ninguna casilla para aceptar la Política de Privacidad y los Términos de Uso, ni para oponerse al envío de comunicaciones comerciales. SEXTO: En los documentos insertados en la citada web figura un domicilio distinto al utilizado para efectuar la notificación de la apertura del procedimiento, de modo que la notificación del período de pruebas se remitió al domicilio actual, recibiéndose escrito de ENPLANCUPON, S.C. en el que solicitaban información sobre el procedimiento. En respuesta a este escrito, por el instructor se remitió copia íntegra de las actuaciones incorporadas al mismo y se advirtió a la entidad imputada sobre la posibilidad de efectuar alegaciones en cualquier momento anterior al trámite de audiencia que sigue a la elaboración de la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Con fecha 02/03/2016 se recibió escrito de alegaciones presentado por ENPLANCUPON, S.C., en el que solicita que se proceda al archivo de las actuaciones de acuerdo con las consideraciones siguientes: La información que ofrece la cláusula informativa incluida en los documentos obtenidos por la Subdirección General de Inspección de Datos en fechas 20/05/2015, la inclusión de una casilla para la aceptación de los términos y condiciones generales en el formulario de contacto obtenido en fecha 28/07/2015 y la alusión contenida en el mismo a la aceptación de la política de privacidad, así como la cláusula de protección de datos personales insertada en los términos generales incorporados por el instructor del procedimiento en fecha 09/02/2016, cumplen la normativa de protección de datos de carácter personal. Especialmente, considerando que los datos recabados (nombre, e-mail y ciudad) no identifican por si mismos a la persona, ya que no se solicitan apellidos, ni DNI, ni dirección, etc., ni otros datos identificativos de las personas físicas, que a los usuarios del formulario de contacto no se le remiten comunicaciones comerciales. Además, con respecto al formulario de suscripción a ofertas comerciales (se recaban nombre, e-mail y ciudad), se optó por el consentimiento tácito, ya que los datos son facilitados por los propios interesados, teniendo conocimiento de que se suscriben a ofertas comerciales, a través de un apartado específico denominado “comunicaciones comerciales” que se incluye en la política de privacidad y términos generales, claramente visibles en el pie de página de todas las URL de la web, se les informa sobre la finalidad de dichas comunicaciones comerciales y de los sectores específicos y concretos de actividad de las mismas, especificando que versarán sobre “ comunicaciones comerciales relativas a los servicios de enplancumpon.com o su cuenta, lo que incluye mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines. No hay gran variedad en los servicios ofrecidos en la web, son servicios y productos de ocio y recientemente se han incorporado servicios de formación, por lo que entiende que se informaba suficientemente sobre los sectores de actividad con la expresión “servicios de enplancupon.com”. En relación con el procedimiento para manifestar su negativa al tratamiento, se estimó suficiente con la opción para darse de baja de la suscripción que se incorpora a cada comunicación comercial que se envía. No obstante lo anterior, al recibir la notificación del presente procedimiento sancionador, se ha procedido a mejorar todos los textos legales y actuaciones relacionadas con la protección de datos de los usuarios. Por otro lado, añade que en este caso se cumplen los requisitos para la aplicación de lo previsto en el artículo 45.6 de la LOPDE y que concurren varios criterios de los enunciados en el artículo 45.4 de la misma norma, concretamente, la ausencia de beneficios y perjuicios, la vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, la ausencia de reincidencia, regularización de la situación irregular de forma diligente, entre otros. Para la graduación de la sanción ha de considerarse el escaso volumen de tratamientos efectuados, escaso volumen de negocio, no se han obtenido ningún beneficio, no hay intencionalidad, no hay reincidencia, y no ha habido afectados directos, pues la denuncia procede de una campaña iniciada por los servicios municipales de Consumo del Excmo. Ayuntamiento de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Finalmente, invoca la Sentencia de la Audiencia Nacional de 29/11/2013, que analiza el apercibimiento como un acto de naturaleza no sancionadora, e interpreta el apercibimiento con una actuación para subsanar la infracción, declarando que de no existir requerimiento, por haber cumplido las medidas esperadas relacionadas con la infracción, procedería el archivo de las actuaciones. Adjunta impresión de los nuevos textos legales, de todos los formularios de recogida de datos, tanto de contactos como de suscripción a las ofertas comerciales y de los correos electrónicos de comunicaciones comerciales que los usuarios reciben: . Los formularios denominados “Registro”, “Suscripción” y “Compra” incorporan una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso, y otra más con la indicación “acepto recibir ofertas de enplancupon…”. . El formulario de “Contacto” incorpora una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso. . El documento Política de Privacidad incluye la información que consta reseñada en el Hecho Probado Quinto. . El documento “Términos generales de uso” reproduce parte de la información incluida en la Política de Privacidad y añade “Puedes ampliar esta información en el apartado Política de Privacidad”. Por último, la entidad ENPLANCUPON se compromete a modificar cualquier otro extremo que sea requerido por la Agencia Española de Protección de Datos. SÉPTIMO: Con fecha 11/04/2016, se accede a los documentos “Política de Privacidad” y “Términos generales de uso” insertados en la web de ENPLANCUPON y se comprueba que la información insertada en la misma coincide con la expresada por la entidad en su escrito de alegaciones y que los formularios “Registro” y “Contacto” disponen de las casillas mencionadas. OCTAVO: Con fecha 14/04/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad ENPLANCUPON con multa de 900 euros (novecientos euros), por la infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica, y de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. Notificada la citada propuesta, se recibe escrito de alegaciones de la entidad ENPLANCUPON en el que solicita el archivo de las actuaciones, o subsidiariamente, la aplicación de lo dispuesto en el artículo 45.6 de la LOPD, de conformidad con las consideraciones siguientes: . Ha procedido a modificar el formulario de datos de contacto al objeto de incluir check box para el envío de ofertas comerciales.. . En el presente caso concurren todas las circunstancias previstas expresamente en el artículo 45.6 de la LOPD, teniendo en cuenta el escaso número de afectados, el volumen de negocio, la ausencia de beneficios, de intencionalidad o reincidencia, así como por haber subsanado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 incidencia una vez se tuvo conocimiento del tratamiento erróneo y por el reconocimiento. Además, no existe denuncia de afectado, sino que los datos proceden de una campaña de inspección de Instituto Municipal de Consumo del Ayuntamiento de Madrid. En supuestos similares, la AEPD ha considerado oportuna la aplicación del citado artículo 45.6 de la LOPD, también relacionados con actividades on line ejercidas por las empresas apercibidas. Relacionan los siguientes, a modo de ejemplo: . Procedimiento A/00306/2015, relativo al registro de datos en una web de la empresa apercibida. . Procedimiento A/00162/2015, relativo a archivo incluido en blog digital. . Procedimiento A/00201/2015, relativo a incumplimiento de artículo 5 en varios sitios webs. . Procedimiento A/00291/2015, relativo a incumplimiento en el registro de datos de una página web. . Procedimiento A/00187/2015, comunicación spam por correo electrónico. A mayor abundamiento, señala ENPLANCUPON que son numerosas las sentencias que se pronuncian al respecto, entre ellas, la de la Audiencia Nacional, sección 1° de la Sala de lo Contencioso-Administrativo, de 17/06/2011, en virtud de la cual se sustituye por el apercibimiento las sanciones impuestas: “La sanción de apercibimiento se trata, sin duda, de una sanción de menor gravedad que las multas impuestas y en el supuesto que nos ocupa, tal y como afirma en el escrito de alegaciones presentado por la Agencia de Protección de Datos en el trámite habilitado al efecto en este procedimiento, concurren los requisitos necesarios para aplicar esta previsión legal pues las infracciones aplicadas en este procedimiento son una leve y una grave, no consta la existencia de previa sanción alguna a la recurrente y al mismo tiempo concurren, de forma significativa dos de las circunstancias previstas en el apartado 45 4 de dicha norma, cuales son la ausencia de beneficios obtenidos y la falta de intencionalidad en la conducta de la recurrente, circunstancias que ya fueron apreciadas incluso, en la resolución administrativa impugnada. A tenor de lo anterior, el Tribunal anula las sanciones impuestas y las sustituye por la de apercibimiento, si bien insta a la AEPD a adoptar nueva resolución en la que determine las medidas correctoras de la conducta del sancionado que estime necesarias y el plazo para adoptarlas”. Es decir, por todo ello, consideramos que dicha excepción deberá hacerse siempre que se den los requisitos expresamente establecidos en el precepto legal, pues el tenor literal del mismo es claro y no requiere de interpretaciones genéricas, de lo contrario, una interpretación del precepto más o menos restrictiva en los diferentes supuestos podría suponer una vulneración de los principios informadores de la potestad sancionadora, falta de proporcionalidad y una posible arbitrariedad de la capacidad instructora, que además se apartaría de los principios constitucionales consagrados en el artículo 9 de la Constitución Española. Además, debido al carácter de los datos personales tratados en el presente caso, solicitarnos nuevamente, en aras al principio de proporcionalidad, se tenga en cuenta que los datos solicitados en el formularios de registro y de contacto, si bien contienen el correo electrónico del usuario, no tienen la misma capacidad de identificación que tienen otros, como por ejemplo, los datos de apellidos, DNI, firma, imagen, etc. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 1. La entidad ENPLANCUPON es la encargada de gestionar la web www.enplancupon.com. 2. Con fecha 22/01/2015, el Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, formuló denuncia contra la entidad ENPLANCUPON por incumplimiento de lo dispuesto en el artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha Ley Orgánica. En esta denuncia detalló parte del contenido del documento Política de Privacidad insertada por dicha entidad en su web www.enplancupon.com, que coincide con el reseñado en el Hecho Probado Cuarto. 3. Con fecha 20/05, 28/07/2015 y 09/02/2016, por la Subdirección General de Inspección de Datos y por el instructor del procedimiento se comprobó que la web www.enplancupon.com dispone de diversos formularios de recogida de datos personales, denominados “Contacto” (recaba datos relativos nombre, email y teléfono), “Registro” y “Suscríbete” (ambos con campos habilitados para que el interesado facilite sus datos personales relativos a nombre de usuario, email y ciudad). Se comprobó que estos formularios no contienen ninguna casilla para aceptar la Política de Privacidad y los Términos de Uso, ni para oponerse al envío de comunicaciones comerciales (únicamente el formulario de contacto incluye una casilla para aceptar los términos y condiciones). 4. Con fecha 20/05/2015, la Subdirección General de inspección de Datos accedió al sitio web www.enplancupon.com, al documento “Política de Privacidad”, que contiene, entre otras indicaciones, la siguiente información en materia de protección de datos personales: “Comunicaciones Comerciales Al darse de alta al servicio, el Usuario consiente a que le enviemos ciertas comunicaciones comerciales relativas a los Servicios de ENPLANCUPON.COM o su cuenta, lo que incluye mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM En cada comunicación indicamos cómo el Usuario puede optar por no recibir comunicaciones a las cuales se encuentra registrado. Fecha de última actualización. Este acuerdo se actualizó por última vez el 22 de enero de 2013”. 5. Con fecha 07/03/2016, la entidad ENPLANCUPON aportó copia impresa de los formularios insertados en su web. Los denominados “Registro”, “Suscripción” y “Compra”, constatando que incorporan una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso, y otra más con la indicación “acepto recibir ofertas de enplancupon…”. Por otra parte, el formulario de “Contacto” incorpora una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso. Aportó, asimismo, copia del documento Política de Privacidad, accesible a través de la web www.enplancupon.com, que incluye la siguiente información: “5. Tratamiento de datos personales En virtud de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal, te informamos que al regístrate en el Sitio Web y aceptar los términos generales y las presente política de privacidad, manifiestas tu consentimiento expreso e inequívoco a que tus datos personales queden incorporados en ficheros titularidad de ENPLANCUPON S,C con CIF J-****** y domicilio en (C/....1) en CÁCERES. Las finalidades son: . Facilitarte el acceso a los servicios y contenidos ofrecidos, durante la navegación a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 de la web www.enplancupon.com o mediante el uso de sus respectivas aplicaciones, . La atención y gestión de las consultas formuladas a través del formulario de contacto o por mail, . La gestión de los pedidos realizados a través de la web., . Facilitar información sobre los servicios y productos ofrecidos desde la web que versan sobre actividades de ocio, productos y formación. . Y en caso de que medie consentimiento, el envío de comunicaciones comerciales, relacionados sobre los servicios y productos ofrecidos por ENPLANCUPON.COM, sobre los sectores de ocio, productos y formación, que incluye ofertas, mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters, mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM, ya que en cada comunicación indicamos cómo el Usuario puede optar por no seguir recibiendo comunicaciones a las cuales se encuentra registrado. ENPLANCUPON ha implantado las medidas técnicas y organizativas necesarias para evitar la pérdida, mal uso, alteración, acceso no autorizado y robo de los Datos Personales que los interesados pudieran facilitar como consecuencia del acceso a las diferentes secciones del Sitio Web enplancupon.com aplicando las medidas de seguridad contempladas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. 6. Comunicaciones comerciales Al darse de alta al servicio y aceptar la política de privacidad, el Usuario consiente a que le enviemos ciertas comunicaciones comerciales a través de su correo electrónico, relativas a los Servicios de ENPLANCUPON.COM o su cuenta, relacionados con las actividades de ocio, productos y formación, lo que incluye ofertas, mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM En cada comunicación indicamos cómo el Usuario puede optar por no recibir comunicaciones a las cuales se encuentra registrado, dándose de baja de dicho servicio haciendo “click” en el enlace correspondiente que aparece en el pie de cada Newsletter que recibes en tu correo electrónico. 7. Derechos del interesado sobre protección de sus datos Puedes ejercer tus derechos de acceso, rectificación y oposición por escrito al Dpto. de Atención de Atención al Cliente de ENPLANCUPON, domicilio en (C/....1) en CÁCERES C.P. ***CP.1; indicando el derecho que deseas ejercitar; y adjuntando fotocopia de tu DNI, o por email a lopd@enplancupon.com. En el caso de no querer recibir todas o algunas de nuestras comunicaciones comerciales o Newsletters, tiene la opción de darse de baja de dicho servicio haciendo “click” en el enlace correspondiente que aparece en el pie de cada Newsletter que recibes en tu correo electrónico. El Usuario Registrado y/o Subscriptor es responsable de la veracidad de sus datos y ENPLANCUPON no será responsable de la inexactitud de los mismos”. El documento “Términos generales de uso” reproduce parte de la información incluida en la Política de Privacidad y añade “Puedes ampliar esta información en el apartado Política de Privacidad”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 artículo 36 de la LOPD. II Se imputa a la entidad denunciada ENPLANCUPON una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado del que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad ENPLANCUPON debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. III El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad ENPLANCUPON facilitaba a clientes y usuarios de su web mediante la Política de Privacidad insertada en la misma en el momento en que se formuló la denuncia y la accedida por la Subdirección General de Inspección de Datos y por el instructor del procedimiento durante la fase de prueba, en fechas 20/05/2015 y 09/02/2016. En este caso, se ha podido comprobar que la entidad ENPLANCUPON incumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del Reglamento de desarrollo de la LOPD, en la medida en que dispone de formularios de recogidas de datos personales a través de su web www.enplancupon.com, en la que ofrece una información en materia de protección de datos, contenida en el documento “Política de Privacidad” insertado en la misma en las fechas indicadas, que no se ajusta a las previsiones normativas reseñadas. En concreto, ENPLANCUPON recaba datos personales mediante tres formularios insertados en la citada web, denominados “Contacto” (recaba datos relativos nombre, email y teléfono), “Registro” y “Suscríbete” (ambos con campos habilitados para que el interesado facilite sus datos personales relativos a nombre de usuario, email y ciudad). En relación con estos formularios se comprobó que no contenían ninguna casilla para aceptar la Política de Privacidad y los Términos de Uso, ni para oponerse al envío de comunicaciones comerciales (únicamente el formulario de contacto incluía una casilla para aceptar los términos y condiciones). Asimismo, se ha comprobado que, a través de la Política de Privacidad que ENPLANCUPON ofrece a los usuarios de su web y clientes, la citada entidad solicita el consentimiento de los mismos para el tratamiento de sus datos personales con una finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 comercial, para la promoción de sus servicios, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad, en contra de lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD, y sin ofrecer una casilla u otro mecanismo válido que pueda emplearse en el momento de la recogida de los datos para que el afectado pueda oponerse a dicha utilización de sus datos personales. En concreto, a este respecto, en la citada Política de Privacidad se indica lo siguiente: “Al darse de alta al servicio, el Usuario consiente a que le enviemos ciertas comunicaciones comerciales relativas a los Servicios de ENPLANCUPON.COM o su cuenta, lo que incluye mensajes de gestión, encuestas estudio de mercado y anuncios de productos asociados a las newsletters mientras continúe suscrito a dichos boletines de ENPLANCUPON.COM”. En esta información no se mencionan los sectores de actividad a los que podrá referirse la publicidad, refiriéndose genéricamente a “comunicaciones comerciales relativas a los Servicios de ENPLANCUPON.COM”. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
- a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
- h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. Además, en la Política de Privacidad no se ofrece al afectado, y tampoco en los formularios de recogida de datos, una casilla que éste pudiera marcar para mostrar su negativa al tratamiento de sus datos con esas finalidades u otro procedimiento válido para que pudiera hacer esta manifestación en el momento mismo de la recogida de datos personales o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30/01/2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual…”. Por otra parte, no puede admitirse la alegación formulada por dicha entidad para salvar los reparos apreciados en el cumplimiento del deber de información, según la cual ofrece la posibilidad de mostrar su negativa en todos los envíos promocionales que realiza. Se trata de dos obligaciones distintas que ha de cumplirse en momentos distintos (la información regulada en el artículo 5 de la LOPD, según ha quedado expuesto, ha de facilitarse en el momento de la recogida de los datos). Finalmente, procede reseñar que las deficiencias señaladas anteriormente han sido regularizadas por ENPLANCUPON durante la tramitación del procedimiento, aunque ello no exonera de responsabilidad por la infracción que se declara, ya consumada en el momento de la apertura. Se tiene en cuenta, en cambio, para la graduación de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 La falta de información sobre los sectores de actividad a los que se referirá la publicidad que remita a clientes y usuarios de la web ha sido corregida en la Política de Privacidad insertada en la misma, en la que se indica que el envío de información se referirá a productos y servicios ofrecidos desde la web que versan sobre actividades de ocio, productos y formación. Asimismo, ENPLANCUPON ha dispuesto una dirección de correo electrónico para el ejercicio de los derechos y habilitado una casilla en los formularios “Registro”, “Suscripción” y “Compra” para que el usuario pueda aceptar la política de privacidad y los términos generales de uso, y otra más con la indicación “acepto recibir ofertas de enplancupon…”. Igualmente, el formulario de “Contacto” incorpora una casilla habilitada para que el usuario pueda aceptar la política de privacidad y los términos generales de uso (se estima conveniente recomendar a ENPLANCUPON que incorpore también a este formulario la casilla con la indicación “acepto recibir ofertas de enplancupon…”). IV El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad ENPLANCUPON ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD y su normativa de desarrollo, por lo que debe considerarse que ha incurrido en la infracción leve descrita. V El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. ENPLANCUPON ha solicitado la aplicación de este artículo, dada la inexistencia de expedientes sancionadores previos en esta materia. En este caso, se cumplen los presupuestos establecidos en dicho artículo. Sin embargo, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el artículo citado, que se declara expresamente como excepcional y cuya ponderación corresponde al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. Así, en este caso, se considera la especial diligencia que ha de exigirse a las entidades que recaban datos de carácter personal para el desarrollo de su actividad a través de Internet y la importancia, en estos casos, de la información insertada en la web que le sirve de plataforma. ENPLANCUPON ha señalado al respecto que en otros supuestos similares la AEPD ha resuelto aplicar la medida del apercibimiento y no la imposición de una multa, como se propone en este caso, y cita los precedentes que constan reseñados en el Antecedente Octavo. Sin embargo, analizados dichos precedentes, se comprueba que no cabe argumentar que se trate de casos idénticos al que constituye el objeto del presente procedimiento: . Dos de los casos invocados por ENPLANCUPON corresponden a ámbitos normativos distintos a la LOPD (A/00201/2015 y A/00187/2015). . En otros dos se tuvo en cuenta para acordar el apercibimiento el volumen de tratamientos afectados por la infracción (datos personales relativos a tres afectados en el A/00162/2015, y datos relativos al denunciante en el A/00306/2015). . El último precedente invocado (A/00291/2015) se refiere a una pequeña empresa que comercializa sus productos a través de una web de su titularidad, a diferencia del presente caso, en el que ENPLANCUPON dispone de una plataforma de compra colectiva en la que ofrece productos y servicios de numerosos proveedores asociados, que desarrollan su actividad en diversos sectores. VI El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, sin perjuicio de las circunstancias invocadas por ENPLANCUPON (ausencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 beneficios y perjuicios, ausencia de reincidencia y la inexistencia de denuncias de particulares), se tiene en cuenta, especialmente, el volumen de negocio o actividad de la entidad imputada y que ha justificado haber llevado a cabo las regularizaciones oportunas para el cumplimiento de las exigencias establecidas en la normativa reseñada, en relación con la información facilitada al recabar datos personales mediante los formularios insertados en su web, procediendo la imposición de una multa en grado mínimo, por importe de 900 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENPLANCUPON, S.C., por una infracción del artículo 5 de la LOPD, en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la LOPD, una multa 900 euros (novecientos euros), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ENPLANCUPON, S.C., y al INSTITUTO MUNICIPAL DE CONSUMO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es