REPOSICION-A-00209-2013

(3)y la denunciada no niega haberlo efectuado (17, 55) declarando que fue un error por su parte. El mensaje se envía CC (con copia a todos esos destinatarios). 2) LYONESS manifiesta que dispone de los datos del denunciante en el fichero inscrito en esta Agencia denominado AFILIADOS, por mantener una relación con dicha entidad (16, 20 a 23, 32). Resumidamente, la relación consiste en que el denunciante desembolsa una cantidad de dinero para entrar en un sistema de afiliación, beneficiándose de reembolsos en dinero por compras realizadas en los establecimientos adheridos al sistema, gestionado por LYONESS. También, si el afiliado consigue que otra persona se de de alta, se le reembolsa en dinero un porcentaje del consumo que este y posteriores afiliados realicen en los citados establecimientos, siendo el primero de ellos el denominado patrocinador, y el nuevo afiliado el patrocinado. Un afiliado recibirá reembolso por las compras realizadas por su patrocinado y por los patrocinados de este y así sucesivamente. El afiliado, y en este caso el denunciante acepta las condiciones generales y la política de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 privacidad que se hallan en la página de lyoness.net (16 a 18, 32). Entre otros datos la denunciada posee la dirección de correo electrónico del denunciante .......@hotmail.com, así como la del resto de destinatarios (23 a 30). En las condiciones generales, no consta que se habilite la comunicación a los patrocinadores o a los patrocinadores indirectos de los datos de correos electrónicos de las personas afiliadas sino entre otros, los datos relativos al volumen de compras

(32). En la ficha del denunciante existe el apartado “Mi upline puede ver mis datos personales (nombre y apellidos)” sin que por tanto se trate de la dirección de correo electrónico, y además dicha opción figura sin marcar en el espacio al efecto.

(34)3) De acuerdo con la denunciada, los correos que aparecen junto al del denunciante son los patrocinados directos e indirectos, siendo pues el denunciante el patrocinado de B.B.B., (16,17, 13,24) y el resto de direcciones de correo son a su vez de patrocinadores de B.B.B. en escala ascendiente (13 a 20). Así, se conviene que al menos B.B.B. conocía al denunciante, pues es la que le patrocina, su upline, y así también se constata del correo del denunciante de 31/10/2012 “Mi upline me dice” y su “patrocinador tampoco me responde ” o de 21/08/2012 (folio5). 4) Se acredita que antes de los hechos denunciados, la denunciada dirigió otros correos electrónicos al denunciante, en los que no aparecen las direcciones de los correos de otros afiliados

(27), como el de 21/08/2012

(5). El mismo contenido del mensaje denunciado, ya se contestó en el mismo sentido al denunciante por la denunciada en ese correo de 21/08/2012 según copias que aporta el denunciante (5 a 7). En este correo se le indicaba “se ponga en contacto con su patrocinador B.B.B.” para que le explique…”y en el correo de 31/10/2012 anterior al denunciado, el denunciante escribió “Mi upline dice que no puede hacer nada al respecto, y su patrocinador tampoco me responde”

(27), si bien se desconoce si el método de contacto con esas dos personas fue el correo electrónico. Con el resto de componentes de las direcciones del correo no consta referencia alguna a contacto previo. 5) Del contenido del correo denunciado se acredita que la denunciada dio a conocer el correo del denunciante .......@hotmail.com, al resto de destinatarios, haciéndolo identificable al menos para su patrocinadora, conociendo así de este modo, esta su dirección de correo electrónico, y el denunciante el suyo, quedando plenamente identificado el denunciante para su patrocinadora y conociendo el denunciante a su vez, el correo de su patrocinadora, B.B.B.. En las condiciones generales, ni figura dicha habilitación ni se acredita que ambos lo conocieran de antes. Además, por tratarse de un grupo de afiliados al sistema de Lyoness, el denunciante conoce direcciones con nombres y apellidos que permiten identificar a las personas, como mínimo a los titulares de otros dos correos pues se identifican como, ***NOMBRE.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6

(3), y ......@......consulting..... sin que la denunciada tenga habilitación para compartir dichos datos. 6) A la Entidad denunciada no le constan sanciones anteriores a este procedimiento

(43).” TERCERO: A.A.A. (en lo sucesivo el recurrente) ha presentado mediante correo electrónico de 15/01/2014, con fecha de registro de 16/01/2014 manifiesta: 1) La resolución no se pronuncia sobre la violación de la intimidad del denunciante resultado de las comunicaciones, en el contenido de las mismas, sino que se limita a tener por probado el envío de las mismas a destinatarios no autorizados verificadas en los correos de los afiliados. Manifiesta que se dio a conocer el hecho de que el denunciante no podía continuar con el plan de carrera por motivos familiares al haber fallecido su padre, lo cual se difundió por la denunciada a los demás afiliados, sin consentimiento por la denunciada. 2) Tampoco se hace mención a la indemnización que por estos hechos probados podría tener derecho el denunciante. Considera “poco castigo” para una falta tipificada como grave. Pide la revisión del procedimiento y que se sancione, y una indemnización por el menoscabo de su intimidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer lugar, en cuanto a la indemnización, en el fundamento de derecho VI se expone que la petición de indemnización se ha de efectuar en su caso ante la jurisdicción ordinaria con los elementos y requisitos que en la normativa correspondiente se señalan. Para ello, esta Agencia no puede aconsejar y entrar a valorar si su acción puede prosperar al ser una acción completamente de ámbito privado en el que este Organismo no tiene competencia. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En cuanto a la manifestación del denunciante de que la denunciada dio a conocer a los afiliados las razones por las que no podía continuar en el sistema, que atentarían contra su intimidad, lo cierto es que en hechos probados no se considera como tal la declaración del denunciante al respecto. Se tiene en cuenta que en el correo que se dirige a todos los destinatarios, aportado por el denunciante como prueba en su denuncia, lo que se comunica es lo que consta en dicha hoja, y ello es que se da a conocer su dirección de correo a otros afiliados. En dicha respuesta que se rebota a los destinatarios no figura aquella razón del fallecimiento. Es decir, en ningún momento se da por probado la razón de porque no puede continuar su labor. Por otra parte, se aprecia que esa razón se contenía en otro correo del denunciante que mandó a LYONESS el 17/08/2012, en el que no se aprecia, que se diera a conocer al resto de destinatarios del correo denunciado. IV En cuanto a que se debería haber sancionado al infractor, ya alegada en el procedimiento, en el fundamento de derecho IV se exponen las razones y motivos del apercibimiento junto a la legitimación del denunciante para obtener una sanción. V Respecto a que no se ha contemplado el aspecto de la vulneración de la intimidad del denunciante, teniendo en cuenta lo determinado en el fundamento de Derecho III, se precisa que el artículo 1 de la LOPD dispone que: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. Por tanto se considera una faceta dentro de la intimidad, sin agotar su peculiaridad. La protección de datos que se reconoce en el artículo 18.4 de la CE, extiende su protección no a los datos íntimos de la persona -que se protegen en el derecho a la intimidad del artículo 18.1 de la CE - sino a los datos de carácter personal (STC 292/2000). Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho al control sobre los datos. Se pretende garantizar ahora a la persona, mediante el control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del afectado, que los datos solo podrán ser tratados y cedidos con su consentimiento. De lo dicho se infiere que no es preciso en modo alguno que se haya vulnerado el derecho a la intimidad, ni que el dato afecte a esa esfera íntima de la persona, para que pueda ser sancionada una conducta en materia de protección de datos, pues este derecho fundamental - artículo 18.4 - tiene un objeto distinto y una dimensión que excede de la del derecho a la intimidad. La doctrina del Tribunal Constitucional recogida en su sentencia de 292/2000 deslinda la función del derecho fundamental a la intimidad del artículo 18.1 –que protege frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad-, de la función del derecho fundamental a la protección de datos, que persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado, y que en consecuencia tiene un objeto más amplio, extendiéndose a cualquier tipo de dato personal, sea o no íntimo, cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 conocimiento o empleo por terceros puede afectar a sus derechos, sean o no fundamentales. En palabras del Tribunal: (...) el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo; y este derecho fundamental a la protección de datos atribuye a su titular un poder de disposición y de control sobre los datos personales, que se concretan jurídicamente en la facultad de consentir la recogida, obtención y acceso, su almacenamiento y tratamiento, y su posible, por un tercero, sea el Estado o un particular. Esta Agencia ha resuelto la denuncia del denunciante en el procedimiento de apercibimiento recurrido con la documentación aportada. La tutela de la eventual infracción del artículo 18.1 de la Constitución no corresponde a esta Agencia y se regula por su normativa específica: Ley Orgánica 1/1982, de 5/05, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Por lo tanto, en el presente recurso de reposición, A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16/12/2013, en el procedimiento A/00209/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es