PS-00697-2015

1/10 Procedimiento Nº PS/00697/2015 RESOLUCIÓN: R/00945/2016 En el procedimiento sancionador PS/00697/2015, instruido por la Agencia Española de Protección de Datos a la entidad GROUPALIA COMPRA COLECTIVA, S.L., vista la denuncia presentada por la entidad INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2015, tuvo entrada en esta Agencia un escrito del Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, en el que pone de manifiesto que, en el marco de una actividad de control de bienes y servicios puestos a disposición de los consumidores, el citado Instituto ha analizado las condiciones de contratación y demás documentación contractual utilizada por empresas que, a través de sus webs, venden cupones que permiten a sus adquirentes beneficiarse de descuentos en la compra de bienes o en la contratación de servicios, como por otras que realizan venta directa de bienes o gestionan la reserva de servicios que el interesado debe contratar con la empresa proveedora de los mismos, habiéndose detectado irregularidades que afectan a las cláusulas de privacidad que utilizan algunos de los prestadores investigados, en las cuales se aprecia posible vulneración de obligaciones o requisitos establecidos por la Ley Orgánica 15/1999, de 13 diciembre, de protección de datos de carácter personal (en lo sucesivo LOPD) y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 diciembre. Según el Instituto Municipal de Consumo, las irregularidades detectadas consisten esencialmente en el incumplimiento de la obligación de ofrecer al afectado, en el momento de la recogida de sus datos, la posibilidad de manifestar su oposición expresa al tratamiento o comunicación de los mismos para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual suscrita con la empresa. En relación con la entidad Groupalia Compra Colectiva, S.L. (en lo sucesivo GROUPALIA COMPRA COLECTIVA), a través de la web www.gruopalia.com, accedieron a la cláusula informativa contenida en la Política de Privacidad. De la información accedida, el citado Instituto Municipal de Consumo destaca la siguiente: “… le informamos que los datos personales que nos facilite en la cumplimentación de cualquier formulario existente en el Sitio Web www.groupalia.com, el contacto o la remisión de un correo electrónico a cualquiera de nuestros buzones... serán tratados con la máxima confidencialidad para… el envío a través de email de los Planes, ofertas y descuentos que realice Groupalia, ... por defecto en el registro de Usuario Registrado, sí no nos manifiesta su oposición expresa con posterioridad” (Política de privacidad, Protección de datos personales, párrafos 2º y 3º). A este respecto, considera dicho Instituto que <<la irregularidad de esta cláusula radica en que, en lugar de circunscribirse al servicio de recepción de noticias y novedades (newsletters) de Groupalia, alcanza a todo tipo de comunicaciones electrónicas que el afectado efectúe ante ella, incluso cuando el titular de los datos se haya limitado a adquirir un producto sin registrarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 en la web de la empresa. Con ello se incumple el requisito de “consentimiento inequívoco del afectado” (art. 6.1 LOPD) establecido para el envío de comunicaciones comerciales ajenas al contrato suscrito ya que el afectado sólo podrá mostrar su rechazo con posterioridad a haber recibido alguna comunicación sin haberla solicitado ni autorizado. En el momento de la recogida de datos de carácter personal la empresa debe permitir al titular de los mismos que manifieste expresamente su negativa al tratamiento previsto por ella en la forma establecida por el art. 15 del Reglamento de desarrollo de la LOPD, precepto que también se vulnera en este caso>>. SEGUNDO: A la vista de los hechos denunciados, por la Subdirección General de Inspección de Datos se llevaron a cabo las siguientes actuaciones: . Con fecha 20/05/0015, se comprueba, a través de la página web http://who.is, que la titularidad del dominio www.gruopalia.com corresponde a la entidad GROUPALIA COMPRA COLECTIVA. . Con fecha 28/07/2015, se incorpora a las actuaciones el formulario de recogida de datos personales “Crea tu cuenta” insertado en el sitio web www.gruopalia.com, que incluye una casilla para aceptar “las condiciones y la política de privacidad”, y copia impresa del documento denominado “Política de Privacidad” accesible en la misma web, que contiene, entre otras indicaciones, la siguiente información en materia de protección de datos personales: “Finalidad del tratamiento La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: . Remitirte publicidad y recomendaciones acerca de nuestras ofertas y descuentos, a través de la dirección de correo electrónico que nos has proporcionado a dichos efectos”. “Derechos del interesado El Usuario Registrado y/o Subscriptor es responsable de la veracidad de sus datos y Groupalia no será responsable de la inexactitud de los mismos. Corresponde a los Usuarios Registrados y Usuarios Subscriptores la actualización de sus propios datos. . En el caso de no querer recibir todas o algunas de nuestras Newsletters, tienes la posibilidad de darte de baja accediendo al apartado web "Mi Cuenta" y "Newsletter" y deseleccionar de entre las Newsletters marcadas aquélla/s que no quieras seguir recibiendo. También puedes darse de baja de dicho servicio haciendo "click" en el enlace correspondiente que aparece en el pie de cada Newsletter que recibes en tu correo electrónico. . Puedes ejercer tus derechos de acceso, rectificación, cancelación y oposición a todos tus datos personales a través es.groupalia.com, accediendo al apartado "Mi Cuenta" (pestañas: "editar", "cambiar información" y "darse de baja de Groupalia"). Asimismo, en caso que lo prefieras, puedes dirigirte por escrito al Dpto. de Atención de Atención al Cliente de Groupalia, (C/....1) Barcelona (España); indicando el derecho que deseas ejercitar; y adjuntando fotocopia de tu DNI, o por email a lopd@groupalia.com”. Según lo expuesto, se comprueba que la Política de Privacidad informa que se remitirá publicidad electrónica (finalidad del tratamiento) y la posibilidad de ejercer los derechos ARCO, pero no indica los sectores de actividad a los que se referirá la publicidad. TERCERO: Con fecha 27/11/2015, por la Subdirección General de Inspección de Datos se accede nuevamente a la web www.gruopalia.com, incorporando a las actuaciones copia de la Política de Privacidad insertada en la misma a dicha fecha. Se comprueba que el contenido de este documento ha sido modificado, pero mantiene las mismas indicaciones reseñadas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 Antecedente Segundo sobre la finalidad del tratamiento (posibilidad de remitir publicidad a través de correo electrónico) y los derechos de los interesados. CUARTO: Con fecha 15/12/2015, la Directora de la AEPD acordó iniciar procedimiento sancionador a GROUPALIA COMPRA COLECTIVA, por presunta infracción del artículo 5 de la LOPD, en relación con el artículo 45.1.

1. b)del Reglamento que la desarrolla, tipificada como leve en el artículo 44.2.
2. c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 euros a 40.000 euros, de acuerdo con el artículo 45.1 de la misma. QUINTO: Notificado el acuerdo de inicio, GROUPALIA COMPRA COLECTIVA presentó escrito de alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, la imposición de una sanción por el importe mínimo previsto. En relación con los reparos puestos de manifiesto por esta Agencia en el acuerdo de apertura, la entidad imputada formula las alegaciones siguientes: . La actividad de la entidad consiste en la publicación de ofertas de productos y servicios diversos para facilitar la contratación de los mismos por vía electrónica. Por tanto, los usuarios que visitan la web encuentran una relación de ofertas de productos y servicios de múltiples categorías y susceptibles de contratación online. GROUPALIA COMPRA COLECTIVA recibe el encargo de entidades terceras colaboradoras para la comercialización, promoción y publicidad de sus servicios y productos, lo que constituye la finalidad principal de la entidad y sobre la que son informados debidamente los usuarios. Por ello, GROUPALIA COMPRA COLECTIVA no es una entidad de un sector comercial específico, sino una web multisectorial de ofertas y descuentos de productos y servicios de diferentes clases y categorías. . Sólo los usuarios registrados pueden realizar una contratación y son informados en todo momento de la tipología de productos y servicios sobre los que pueden recibir comunicaciones comerciales (Newsletters). . Los usuarios son informados en la primera visita a la página web (bienvenida) sobre el contenido y finalidad de la misma, así como sobre la tipología de ofertas en restaurantes, , salud, belleza, formación, viajes, etc. . Asimismo, se informa a los usuarios en el Aviso Legal o Condiciones Legales de GROUPALIA COMPRA COLECTIVA, que indica expresamente: “… La web ofrece a sus usuarios ofertas o descuentos para disfrutar de servicios o productos de alguno de los colaboradores asociados (con carácter enunciativo y no limitativo: restauración, tratamientos estéticos, aventuras, eventos, paquetes de viaje y ocio, etc.) durante un determinado plazo de tiempo y con validez dentro de una territorio determinado (en adelante “la oferta”). . La web incluye una barra lateral en la que se detalla la oferta y categorías sectoriales que se pone a disposición: shoping, electrodomésticos, ropa, niños, peluquería, estética, etc. . No existe denuncia o reclamación alguna anterior. . GROUPALIA COMPRA COLECTIVA ha considerado ampliar y mejorar el apartado “Finalidad de tratamiento” de la Política de Privacidad, que queda redactada como sigue: “Finalidad del tratamiento La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: Remitirte publicidad y recomendaciones acerca de nuestras ofertas y descuentos, a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 dirección de correo electrónico que nos has proporcionado a dichos efectos. Así, de conformidad con nuestra finalidad comercial, te enviaremos ofertas y/o descuentos para que si lo deseas, puedas contratar y disfrutar de los servicios y/o productos de alguno nuestros colaboradores asociados. A tu izquierda, tienes disponible un listado no limitativo de "Ofertas" con la relación de servicios y productos sobre los que Groupalia podrá enviarte publicidad y recomendaciones comerciales. Una vez suscrito, podrás gestionar o cancelar tus suscripciones en cualquier momento, iniciando sesión en tu panel de usuario, en la opción, "Emails y notificaciones". Realizar la gestión administrativa de la compra del producto o servicio asociado a las Ofertas. (…)”. SEXTO: Con fecha 09/02/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, por incorporados los documentos obtenidos por la Subdirección General de Inspección de Datos en fechas 20/05/2015, 28/07/2015 y 27/11/2015, y por presentadas las alegaciones al acuerdo de inicio formuladas por GROUPALIA COMPRA COLECTIVA y la documentación que a ellas acompaña. Por otra parte, el instructor del procedimiento accedió al sitio web grupoalia.com y obtuvo copia de los documentos “Condiciones de Uso y Política de Privacidad”, “Condiciones Generales de Uso” y “Política de Privacidad”, así como del formulario de recogida de datos “Crea tu cuenta”, que se incorporan a las actuaciones. El acceso a estos documentos y formularios se realiza mediante enlaces que aparecen de forma permanente en la web. Se comprobó que el documento “Condiciones Generales de Uso”, en su apartado Descripción del Servicio, incluye la información reseñada por GROUPALIA COMPRA COLECTIVA en su escrito de alegaciones (“la web ofrece a sus usuarios ofertas…”) y que el contenido del documento “Política de Privacidad”, en su apartado “Finalidad del tratamiento” coincide con el reseñado en el citado escrito de alegaciones. Se comprueba, asimismo, que la web incluye una barra lateral en la que se puede comprobar la oferta y categorías sectoriales que se pone a disposición: shoping, electrodomésticos, ropa, niños, peluquería, estética, etc. SEPTIMO: Con fecha 20/04/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se acuerde el archivo del presente procedimiento sancionador, seguido contra GROUPALIA COMPRA COLECTIVA por la presunta infracción de lo dispuesto en el artículo 5 de la LOPD, en relación con el artículo 45 del Reglamento de desarrollo de dicha norma. HECHOS PROBADOS 1. La entidad GROUPALIA COMPRA COLECTIVA es titular de la web www.gruopalia.com. 2. Con fecha 22/01/2015, el Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, formuló denuncia contra la entidad GROUPALIA COMPRA COLECTIVA por incumplimiento de lo dispuesto en el artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha Ley Orgánica. En esta denuncia detalló parte del contenido del documento Política de Privacidad insertada por dicha entidad en su web www.gruopalia.com: “… le informamos que los datos personales que nos facilite en la cumplimentación de cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 formulario existente en el Sitio Web www.groupalia.com, el contacto o la remisión de un correo electrónico a cualquiera de nuestros buzones... serán tratados con la máxima confidencialidad para… el envío a través de email de los Planes, ofertas y descuentos que realice Groupalia, ... por defecto en el registro de Usuario Registrado, sí no nos manifiesta su oposición expresa con posterioridad” (Política de privacidad, epígrafe Protección de datos personales, segundo y tercer párrafos). 3. Con fecha 28/07/2015, por la Subdirección General de Inspección de Datos se comprobó que la web www.gruopalia.com pone a disposición de sus usuarios un formulario de recogida de datos personales “Crea tu cuenta” insertado en el sitio web www.gruopalia.com, que incluye una casilla para aceptar “las condiciones y la política de privacidad”, e incorpora un documento denominado “Política de Privacidad”, accesible en la misma web, que contiene, entre otras indicaciones, la siguiente información en materia de protección de datos personales: “Finalidad del tratamiento La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: . Remitirte publicidad y recomendaciones acerca de nuestras ofertas y descuentos, a través de la dirección de correo electrónico que nos has proporcionado a dichos efectos”. 4. Con fecha 09/02/2016, el instructor del procedimiento accedió al sitio web www.gruopalia.com, al documento “Condiciones Generales de Uso”, que indica expresamente: “… La web ofrece a sus usuarios ofertas o descuentos para disfrutar de servicios o productos de alguno de los colaboradores asociados (con carácter enunciativo y no limitativo: restauración, tratamientos estéticos, aventuras, eventos, paquetes de viaje y ocio, etc.) durante un determinado plazo de tiempo y con validez dentro de una territorio determinado (en adelante “la oferta”). En la misma fecha, accedió al documento “Política de Privacidad”, que contiene la siguiente información sobre la finalidad del tratamiento de los datos personales: “La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: Remitirte publicidad y recomendaciones acerca de nuestras ofertas y descuentos, a través de la dirección de correo electrónico que nos has proporcionado a dichos efectos. Así, de conformidad con nuestra finalidad comercial, te enviaremos ofertas y/o descuentos para que si lo deseas, puedas contratar y disfrutar de los servicios y/o productos de alguno nuestros colaboradores asociados. A tu izquierda, tienes disponible un listado no limitativo de "Ofertas" con la relación de servicios y productos sobre los que Groupalia podrá enviarte publicidad y recomendaciones comerciales. Una vez suscrito, podrás gestionar o cancelar tus suscripciones en cualquier momento, iniciando sesión en tu panel de usuario, en la opción, "Emails y notificaciones". Se comprueba, asimismo, que la web incluye una barra lateral en la que se puede comprobar la oferta y categorías sectoriales que se pone a disposición: shopping, electrodomésticos, ropa, niños, peluquería, estética, etc. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 II Considerando el sentido de la propuesta de resolución, de conformidad con lo dispuesto en el artículo 19.2 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, se prescindió del trámite de audiencia a la denunciada. III Se imputa a la entidad denunciada GROUPALIA COMPRA COLECTIVA una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
9. c)y
10. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado del que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad GROUPALIA COMPRA COLECTIVA debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
11. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. IV El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad GROUPALIA COMPRA COLECTIVA facilitaba a clientes y usuarios de su web mediante la Política de Privacidad insertada en la misma, en el momento en que se formuló la denuncia y la accedida por la Subdirección General de Inspección de Datos y por el instructor del procedimiento durante la fase de prueba. En este caso, se ha podido comprobar que la entidad cumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
12. b)del Reglamento de desarrollo de la LOPD, en la medida en que dispone de formularios de recogidas de datos personales a través de su web www.gruopalia.com, en la que ofrece una información en materia de protección de datos, contenida en el documento “Política de Privacidad” insertado en la misma en las fechas indicadas, que se ajusta a las previsiones normativas reseñadas. En concreto, GROUPALIA COMPRA COLECTIVA recaba datos personales mediante un formulario insertado en la citada web, denominados “Crea tu cuenta” (recaba datos relativos nombre, apellidos, email, código postal, ciudad y fecha de nacimiento). En relación con este formulario se ha comprobado que incluye una casilla para aceptar “las condiciones y la política de privacidad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Asimismo, consta que, a través de la Política de Privacidad que se ofrece a los usuarios de la web y clientes, se informa a los mismos sobre la posibilidad de oponerse al tratamiento de sus datos a través de una dirección de correo electrónico habilitada para ello, lo que constituye un procedimiento válido para que el afectado pudiera hacer esta manifestación en el momento mismo de la recogida de datos personales en los casos, como el presente, en el que los datos se recaban a través de Internet, por cuanto dicho mecanismo permite al usuario manifestar su oposición en el mismo momento de la recogida de los datos utilizando la dirección de correo electrónico que se facilita. Por otra parte, la entidad GROUPALIA COMPRA COLECTIVA solicita el consentimiento de los usuarios de la web para el tratamiento de sus datos personales con una finalidad comercial, para la promoción de los productos y servicios que oferta. En concreto, a este respecto, en la Política de Privacidad insertada en la web con anterioridad a la apertura del procedimiento se advertía sobre la posibilidad de remitir a través de email sus ofertas y descuentos. En esta información no se mencionan los sectores de actividad a los que podrá referirse la publicidad, refiriéndose genéricamente a sus ofertas y descuentos. No obstante, según la información facilitada, se entiende que el envío de publicidad se refiere a productos y servicios ofrecidos por la entidad, lo que permite al interesado, cuando esos productos y servicios están visibles en la web, examinar los sectores de actividad a los que pertenecen y, en consecuencia, conocer los sectores de actividad “respecto de los que podrá recibir información o publicidad”. Siendo así, la publicidad que pueda remitirse no va más allá de la publicidad que espera recibir el interesado cuando facilita su consentimiento a través de la web para el tratamiento de sus datos con fines publicitarios. Incluso, con posterioridad a la apertura del procedimiento, GROUPALIA COMPRA COLECTIVA ha mejorado la información ofrecida, habiendo incluido en la web una barra lateral en la que se puede comprobar la oferta y categorías sectoriales que pone a disposición (shopping, electrodomésticos, ropa, niños, peluquería, estética, etc) y una referencia a la misma en la Política de Privacidad: “La finalidad del tratamiento de tus datos de carácter personal, es la siguiente: Remitirte publicidad y recomendaciones acerca de nuestras ofertas y descuentos, a través de la dirección de correo electrónico que nos has proporcionado a dichos efectos. Así, de conformidad con nuestra finalidad comercial, te enviaremos ofertas y/o descuentos para que si lo deseas, puedas contratar y disfrutar de los servicios y/o productos de alguno nuestros colaboradores asociados. A tu izquierda, tienes disponible un listado no limitativo de "Ofertas" con la relación de servicios y productos sobre los que Groupalia podrá enviarte publicidad y recomendaciones comerciales. Una vez suscrito, podrás gestionar o cancelar tus suscripciones en cualquier momento, iniciando sesión en tu panel de usuario, en la opción, "Emails y notificaciones". En definitiva, el usuario tiene información sobre los sectores de actividad a los que podrá referirse la publicidad que reciba de GROUPALIA COMPRA COLECTIVA y se ofrece a los usuarios de la web un mecanismo válido, que puede emplearse en el momento de la recogida de los datos, para que el afectado pueda oponerse a dicha utilización de sus datos personales, procediendo declarar el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador seguido contra GROUPALIA COMPRA COLECTIVA, S.L. por la presunta infracción del artículo 5 de la LOPD, en relación con el artículo 45 del Reglamento de desarrollo de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a las entidades GROUPALIA COMPRA COLECTIVA, S.L. e INSTITUTO MUNICIPAL DE CONSUMO DEL AYUNTAMIENTO DE MADRID. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es