1/15 );;.;;.;;.;;.;;.;; .;;.;;.;;;;;o;;;;;;;;;;;;;;;;; Procedimiento nº: PS/00077/2015 ASUNTO: Recurso de Reposición Nº RR/00715/2015 Examinado el recurso de reposición interpuesto por la entidad SEUR, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00077/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 30 de julio de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00077/2015, en virtud de la cual se imponía a la entidad SEUR, S.A. (en lo sucesivo SEUR), una sanción de 10.000 euros (diez mil euros), por la vulneración de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 15 y 45 del Reglamento de desarrollo de dicha Ley Orgánica, infracción tipificada como leve en el artículo 44.2.c), de conformidad con lo establecido en el artículo 45.1 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la recurrente en fecha 05/08/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00077/2015, quedó constancia de los siguientes: <<1. Con fecha 17/03/2014, el Servicio de Inspección de Consumo, del Instituto Municipal de Consumo del Ayuntamiento de Madrid, formuló denuncia contra la entidad SEUR por incumplimiento de lo dispuesto en el artículo 5 de la LOPD, en relación con el artículo 15 del Reglamento de desarrollo de dicha Ley Orgánica. Aportó copia de la Política de Privacidad insertada por dicha entidad en su web seur.com, cuyo contenido y estructura es similar al reseñado en el Hecho Probado Cuarto. 2. Con fecha 13/10/2014, la Subdirección General de inspección de Datos accedió al sitio web seur.com y obtuvo copia del formulario de recogida de datos insertado en la misma, denominado “Envío online”, que dispone de campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc. 3. Con fecha 14/04/2015, el instructor del procedimiento accedió al sitio web seur.com y obtuvo copia de los formularios de recogida de datos “Envío online” (con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc.), “Contacta con nosotros” (recaba datos relativos nombre, email, teléfono, código postal y población) y “Alta de usuarios” (con espacios para cumplimentar el nombre, apellidos, NIF, email, código postal y población). Se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 comprobó que los dos últimos formularios citados contienen una casilla para marcar “He leído y acepto la política de privacidad de SEUR, S.A.” y no el primero de ellos. 4. Con fecha 14/04/2015, el instructor del procedimiento accedió al sitio web seur.com y obtuvo copia del documento “Política de Privacidad”, que ofrece la siguiente información en materia de protección de datos personales: <<En SEUR somos conscientes de la importancia que tiene para nuestros clientes la protección de la información, por ello, adoptamos y nos comprometemos a seguir una serie de medidas que, consideramos, son esenciales para conseguir una correcta política de protección de la privacidad y confidencialidad de los datos que nos lleguen. Nuestro objetivo, además de darte el mejor servicio de envío y transporte, es garantizar el respeto y la más absoluta confidencialidad y privacidad de toda aquella información que recogemos y procesamos de nuestros clientes. Según esto, SEUR no trafica con la información de sus clientes, ni facilita dichos datos a terceros que no estén relacionados con la transacción realizada, salvo que Ud. haya consentido dicha operación de acuerdo con lo establecido en esta política, así lo exija la legislación vigente o sea necesario para la prestación del servicio. El objetivo más importante al recoger y almacenar información sobre nuestros clientes es garantizar la eficacia, seguridad y rapidez de los envíos nacionales e internacionales que llevamos a cabo o en los servicios de transporte urgente que realizamos. SEUR utilizará la información recogida para verificar el cumplimiento de los contratos de transporte y todos los acuerdos que derivan de los servicios de envío que realiza; con el objetivo de utilizar parte de la misma para futuras comunicaciones con sus clientes y así proporcionar una mejora de nuestros servicios presentes y futuros y una óptima atención a nuestros clientes. La información de carácter personal que configuran nuestras bases de datos se obtienen directamente de los formularios que nuestros clientes rellenan conscientes del tratamiento de los mismos. La finalidad de la recogida y tratamiento son: . La ejecución y el mantenimiento de cualesquiera relaciones contractuales que pudiera mantener SEUR y sus usuarios y/o clientes. . La ejecución, gestión, administración, ampliación y mejora de los servicios que fuesen solicitados y/o utilizados por los usuarios y clientes. . El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil o correo ordinario. . La realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística. Asimismo, la finalidad de la recogida y tratamiento automatizado incluye el envío de formularios de opiniones sobre la página Web, que el usuario no queda obligado a contestar. (…) Cláusulas de tratamiento de datos según lo establecido en la LOPD15/99 El Cliente y/o usuario garantiza la autenticidad y veracidad de todos aquellos datos que comunique tanto en la cumplimentación de los formularios de registro como en cualquier otro momento posterior, siendo de su responsabilidad el actualizar la información suministrada, de tal forma que refleje su situación real. El usuario será responsable de la inexactitud o falta de veracidad de la información aportada. El Cliente y/o usuario consiente inequívocamente que los datos personales que nos facilite a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 largo de toda la página Web sean incorporados a los ficheros que contengan datos de carácter personal, de los que será responsable SEUR S.A, así como el tratamiento informatizado o no de los mismos con el fin de que puedan ser utilizados por SEUR S.A con una finalidad comercial personalizada o no, financiera, operativa y estadística así como actividades propias autorizando a SEUR S.A la extracción, almacenamiento de datos y estudios de Marketing al objeto de mejorar nuestra atención en el desarrollo de los servicios solicitados e informarle de nuestros actuales y futuros servicios a través de los diferentes medios que se establecen en la actual política de privacidad y confidencialidad. Los usuarios que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a las entidades integrantes de la Red SEUR para la realización de actividades propias de su objeto social. Los usuarios que faciliten datos de carácter personal quedan informados que dicha comunicación se produce en el mismo momento en que proporcionan los datos a SEUR S.A. Todos aquellos usuarios cuyos datos sean objeto de tratamiento podrán ejercer gratuitamente los derechos de oposición, acceso e información, rectificación, cancelación de sus datos en los términos especificados en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, conforme al procedimiento legalmente establecido. Estos derechos podrán ser ejercitados dirigiendo comunicación mediante escrito con la referencia “Protección de datos” remitido a SEUR S.A., Dpto. Atención al Cliente, (C/.......1) de Madrid, adjuntando fotocopia de su DNI, o enviado un correo electrónico a B.B.B. con el asunto de referencia: PROTECCION DE DATOS, incluyendo copia de su DNI. Aceptación de la Política de Privacidad y Confidencialidad Mediante este aviso, SEUR S.A., domiciliada en (C/.......1) (Madrid) informa a los usuarios y/o clientes de la página Web de su propiedad acerca de su política de privacidad y confidencialidad y de protección de datos de carácter personal para que puedan determinar libre y voluntariamente si desean facilitar los Datos Personales que se les puedan requerir o que se puedan recabar a través de los formularios y servicios ofrecidos por SEUR S.A en la página Web. SEUR S.A. se reserva el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales así como a los servicios ofertados en la página Web. El uso continuado de este sitio Web implica la aceptación por su parte de la Política de Privacidad y Confidencialidad de SEUR S.A>>. TERCERO: Con fecha 02/09/2015, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad SEUR, S.A., recibido en esta Agencia Española de Protección de Datos en fecha 04/09/2015, en el que solicita el archivo de las actuaciones o, subsidiariamente, se acuerde el apercibimiento o la imposición de una multa por el importe mínimo previsto o al menos en unos términos equivalentes a los del resto de empresas sancionadas por la AEPD por los mismos hechos, de acuerdo con las consideraciones siguientes . Se provoca indefensión a SEUR por cuanto la resolución no responde a las alegaciones formuladas durante la tramitación del procedimiento, en contra de lo establecido en el artículo 89.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y 20.2 del Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, que exigen que la resolución sea motivada y que decida sobre todas las cuestiones planteadas por los interesados. . Reitera que la Política de Privacidad informa sobre las cesiones a las entidades de la Red SEUR y que las mismas se producen para cumplir con el objeto del servicio encargado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 cliente, señalando que no fue estimada por la AEPD a pesar de que el artículo 5 de la LOPD no exige que se informe sobre las finalidades de una cesión, ni sobre el tipo de actividad que ejerce el cesionario. Estas cuestiones son exigidas por el artículo 11.3 de la LOPD para aquellos casos en los que sí es necesario el consentimiento. En este caso, no consta acreditado que SEUR ceda datos a las entidades de su Red con finalidades diferentes del transporte contratado por el cliente (finalidad para la cual está exceptuada la obtención del consentimiento en virtud del artículo 11.2.
- c)de la LOPD). A mayor abundamiento, el literal del artículo 11.3 de la LOPD establece que en caso de no incluirse esta información, el consentimiento será nulo, pero no menciona que el cumplimiento del artículo 5 de la LQPD sea insuficiente. El artículo 5 de la LOPD sí exige que se informe sobre los destinatarios de los datos. Esta obligación es cumplida de forma estricta por parte de SEUR, mediante la inclusión de un hiperenlace a una relación exhaustiva de las empresas de la Red SEUR, su domicilio y CIF. . EI primer apartado de la Política de Privacidad, expresamente indica como finalidad del tratamiento de los datos “La realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística”, introduciendo una explicación clara, expresa y concisa del sector de actividad en el que opera SEUR. Una vez introducida dicha explicación, todas las siguientes remisiones a “nuestros productos y servicios” se refieren, obviamente, al sector de envío, transporte y logística. Sin embargo, la Resolución parece haber pasado por alto este hecho y esta alegación, pues se limita a recoger otros extractos del mismo documento (Política de Privacidad) en los que no se indican expresamente estos sectores. . En relación con la inexistencia de casillas de oposición al tratamiento de los datos con fines comerciales, resume las alegaciones realizadas a la propuesta de resolución, advirtiendo nuevamente que en los formularios “Contacta con nosotros” y “Alta de usuarios” no puede considerarse que exista relación contractual, y que ofrecía un procedimiento equivalente a través del 2° párrafo del apartado “Comunicaciones mediante correo electrónico” de la Política de Privacidad con la posibilidad de enviar un correo electrónico en todo momento (antes, durante y después de rellenar cualquiera de estos formularios) manifestando expresamente su negativa al tratamiento o comunicación de datos. . SEUR decidió adoptar ciertas medidas que despejasen cualquier duda sobre el cumplimiento de la normativa de protección de datos en SEUR e informar de ello a la AEPD a través de las alegaciones a la Propuesta de Resolución, que la AEPD parece haber dado por buenas. . Reitera la AEPD en su Resolución que SEUR ya ha sido sancionada con anterioridad y que por este motivo no procede la aplicación de la figura del apercibimiento. Sin embargo, debe recordarse que dicha sanción, de cuya imposición han transcurrido más de 15 años, no fue tramitada conforme a la LOPD, sino en relación a la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (LORTAD). En consecuencia, SEUR nunca ha sido sancionada en relación a la LOPD (norma que recoge la posibilidad del apercibimiento). . La sanción resultaba desproporcionada en relación con los daños provocados y en comparación con las sanciones impuestas a otras empresas por los mismos motivos, algunas de las cuales manejan un volumen de datos equivalente al de SEUR y tienen volúmenes de negocio igualmente equivalentes. A este respecto, reproduce la tabla resumen con todos expedientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 detectados, todos ellos instados igualmente por el Servicio de Inspección de Consumo del Instituto Municipal de Consumo del Ayuntamiento de Madrid, sobre la que la Resolución no se pronunció. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas durante tramitación del procedimiento, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VII de la Resolución recurrida, R/02035/2015, de 30/07/2015, en la que se considera que la entidad SEUR incumplió lo dispuesto en el artículo 5 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Se imputa a la entidad denunciada SEUR una infracción del art. 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad SEUR debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. La manera en la que debe recabarse el consentimiento viene recogida en el art. 15 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento”. Para el caso concreto de que se pretenda la realización de tratamientos con fines publicitarios y de prospección comercial, el artículo 45 del citado Reglamento establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. Sobre esta misma cuestión, con carácter general, el artículo 12.2 del mismo Reglamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 establece: “2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo”. Y el artículo 11.3 de la LOPD señala al respecto: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar”. III El objeto del presente procedimiento está constituido por la información en materia de protección de datos de carácter personal que la entidad SEUR facilitaba a clientes y usuarios de su web mediante la Política de Privacidad insertada en la misma en el momento en que se formuló la denuncia y la accedida por el instructor durante la fase de prueba, en fecha 14/04/2015. En este caso, se ha podido comprobar que la entidad SEUR incumple lo dispuesto en el artículo 5 LOPD, en relación con los artículos 15 y 45.1.
- b)del RD 1720/2007, en la medida en que dispone de formularios de recogidas de datos a través de su web seur.com, en la que se ofrece una información en materia de protección de datos, contenida en el documento “Política de Privacidad” insertado en la misma en las fechas indicadas, que no se ajusta a las previsiones normativas reseñadas. En concreto, SEUR recaba datos personales mediante tres formularios insertados en la citada web: el denominado “Envío online” (con campos habilitados para que el interesado facilite sus datos personales y los del destinatario relativos a nombre, apellidos, NIF, email, teléfono, dirección, código postal, población, provincia, etc.); “Contacta con nosotros” (recaba datos relativos nombre, email, teléfono, código postal y población); y “Alta de usuarios” (con espacios para cumplimentar el nombre, apellidos, NIF, email, código postal y población). La contratación de los servicios de SEUR mediante el formulario “Envío online” requiere introducir el número de socio del interesado, por lo que se entiende que la recogida de datos para su registro como tal es anterior. Se ha comprobado que, a través de la Política de Privacidad que SEUR ofrece a los usuarios de su web y clientes, la citada entidad solicita el consentimiento de los mismos para el tratamiento de sus datos personales con una finalidad comercial, para la promoción de sus propios productos y servicios, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad, en contra de lo dispuesto en el citado artículo 45 del Reglamento de desarrollo de la LOPD, y sin ofrecer una casilla u otro mecanismo válido que pueda emplearse en el momento de la recogida de los datos para que el afectado pueda oponerse a dicha utilización de sus datos personales. En concreto, a este respecto, en la citada Política de Privacidad se indica lo siguiente: “SEUR utilizará la información recogida para verificar el cumplimiento de los contratos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 transporte y todos los acuerdos que derivan de los servicios de envío que realiza; con el objetivo de utilizar parte de la misma para futuras comunicaciones con sus clientes y así proporcionar una mejora de nuestros servicios presentes y futuros y una óptima atención a nuestros clientes. La información de carácter personal que configuran nuestras bases de datos se obtienen directamente de los formularios que nuestros clientes rellenan conscientes del tratamiento de los mismos. La finalidad de la recogida y tratamiento son: . El envío de información general, técnica, operativa publicitaria y promocional sobre nuestros productos y servicios propios a través de los diferentes medios de los cuales se solicita autorización como correo-electrónico, teléfono móvil o correo ordinario”. “El Cliente y/o usuario consiente inequívocamente que los datos personales que nos facilite a lo largo de toda la página Web sean incorporados a los ficheros que contengan datos de carácter personal, de los que será responsable SEUR S.A, así como el tratamiento informatizado o no de los mismos con el fin de que puedan ser utilizados por SEUR S.A con una finalidad comercial personalizada o no, financiera, operativa y estadística así como actividades propias, autorizando a SEUR S.A la extracción, almacenamiento de datos y estudios de Marketing al objeto de mejorar nuestra atención en el desarrollo de los servicios solicitados e informarle de nuestros actuales y futuros servicios a través de los diferentes medios que se establecen en la actual política de privacidad y confidencialidad”. En esta información se mencionan algunos sectores de actividad a los que podrá referirse la publicidad, pero emplea fórmulas abiertas e inconcretas, refiriéndose genéricamente a “actividades propias” e, incluso, a “futuros servicios”. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
- a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
- h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. Además, según se ha indicado, en la Política de Privacidad no se ofrece al afectado una casilla que pudiera marcar para oponerse al tratamiento de sus datos con esas finalidades u otro procedimiento válido para que pudiera hacer esta manifestación en el momento mismo de la recogida de datos personales o, en los términos del artículo 15 del Reglamento de desarrollo de la LOPD, “durante el proceso de formación de un contrato”. En este mismo sentido se pronuncia la sentencia de la Audiencia Nacional de fecha 30 de enero de 2013, al señalar la misma lo siguiente: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual…”. Obviamente, la recogida de datos mediante formularios insertados en la web y la información que se ofrece a través de la misma, objeto del presente procedimiento, nada tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 que ver con la información que se ofrece en otros formularios que se formalicen a través de otros canales, como el documento aportado por SEUR con sus alegaciones (carta de porte). Por otra parte, no puede admitirse la alegación formulada por dicha entidad para salvar los reparos apreciados en el cumplimiento del deber de información, según las cuales no envía ni pretende enviar publicidad a los usuarios registrados en su página web. Lo determinante es que solicita su consentimiento con dicha finalidad y lo hace sin respetar las exigencias que conlleva dicho deber. Finalmente, procede reseñar que la falta de información sobre los sectores de actividad a los que se referirá la publicidad de los productos y servicios de SEUR ha sido corregida en la Política de Privacidad insertada en la web de la entidad a fecha 23/07/2015, en la que se indica que el envío de información se referirá a productos y servicios propios, actuales y futuros, del sector del envío, transporte y logística. Asimismo, se comprueba que los formularios “Contacta con nosotros” y “Alta de usuarios” incluyen una casilla operativa que permite al interesado marcar la opción “No consiento el uso de mis datos para fines comerciales”. IV Por otra parte, el usuario de la web www.seur.com que facilite sus datos personales, o clientes que contraten a través de la misma, de acuerdo con la información ofrecida en la Política de Privacidad objeto del procedimiento, consiente la comunicación de tales datos a otras entidades del grupo SEUR, sin haber sido informado sobre la finalidad para la que serán cedidos, sin especificar los sectores de actividad de las empresas destinatarias y, al igual que en el caso anterior, sin ofrecer un mecanismo para que pueda oponerse a dicha comunicación de datos. En concreto, en dicha Política de Privacidad se indica: “…SEUR no trafica con la información de sus clientes, ni facilita dichos datos a terceros que no estén relacionados con la transacción realizada, salvo que Ud. haya consentido dicha operación de acuerdo con lo establecido en esta política…”. “Los usuarios que faciliten sus datos de carácter personal prestan su consentimiento expreso para que puedan ser comunicados para su utilización a las entidades integrantes de la Red SEUR para la realización de actividades propias de su objeto social. Los usuarios que faciliten datos de carácter personal quedan informados que dicha comunicación se produce en el mismo momento en que proporcionan los datos a SEUR, S.A.”. El citado documento, al referir que los datos se utilizarán por las cesionarias para la realización de actividades propias de su objeto social, no cumple con las exigencias establecidas en el citado artículo 5, que obligar a determinar de modo expreso, preciso e inequívoco la finalidad de la recogida de datos; no identifica a los destinatarios de la información; y tampoco detalla los sectores de actividad de tales empresas. En relación con lo expuesto, el citado artículo 11.3 de la LOPD establece lo siguiente: “3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 pretenden comunicar”. Y el citado artículo 5.1.
- a)de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco, de los destinatarios de la información. Es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, así como de la finalidad que la motiva, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concretos. La cesión de datos a “entidades integrantes de la Red Seur” es indeterminada, pues no concreta quienes van a ser los destinatarios de la información. No se especifica cuáles son las empresas de la red a las que se pueden ceder los datos de los clientes, ya que dicha cláusula no hace mención a las mismas, al menos con referencia a su tipo de actividad. Sin información sobre la finalidad y destinatarios no cabe admitir la cláusula informativa como suficiente para entender válido el consentimiento. Por otra parte, tampoco se cumple la obligación de ofrecer la posibilidad de oponerse a las cesiones de datos personales indicadas, establecida, según ha quedado expuesto, para el momento de la recogida de los datos. En relación con esta cuestión, SEUR ha señalado en sus alegaciones que las cesiones de datos a las entidades integrantes de la Red Seur se realizan para el transporte de mercancías, que es la actividad que constituye su objeto social y que, por ello, es de aplicación la excepción prevista en el artículo 11.2.
- c)de la LOPD. Sin embargo, la mera mención que se recogía en la Política de Privacidad sobre la posibilidad de comunicar los datos a las entidades integrantes de la Red SEUR “para la realización de actividades propias de su objeto social” no permite deducir la actividad de las mismas ni tampoco que la cesión tengo por objeto exclusivo la ejecución del servicio de transporte contratado. Actualmente, la Política de Privacidad insertada en la web de SEUR detalla que los datos personales pueden ser comunicados a las entidades de la Red Seur, del sector del envío, transporte y logística únicamente para la ejecución de los servicios contratados por el usuario. Se informa, por tanto, sobre la finalidad de la cesión, que no se produce con fines publicitarios ni con ningún otro fin distinto al que determinó la recogida de los datos. Por tanto, en relación con esta comunicación de datos, han de entenderse subsanadas las deficiencias apreciadas en la información ofrecida por SEUR en su Política de Privacidad. V El artículo 44.2.
- c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, la entidad SEUR ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. SEUR ha solicitado la aplicación de este artículo, dada la inexistencia de expedientes sancionadores previos en esta materia. En esta caso, no se cumplen los presupuestos establecidos en dicho artículo, considerando que SEUR fue sancionada en materia de protección de datos de carácter personal mediante resolución dictada en el procedimiento número PS/00085/1999. En cualquier caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el artículo citado, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente la especial diligencia que se exige a las entidades que, por su actividad, realizan un alto volumen de tratamiento de datos. VII El artículo 45.1 y 4 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En relación con los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, sin perjuicio de las circunstancias invocadas por SEUR (ausencia de beneficios y de reincidencia, así como la inexistencia de denuncias de particulares), se tiene en cuenta la especial diligencia que ha de exigirse a las empresas que, en el desarrollo de su actividad, realizan un alto número de tratamientos de datos, el volumen de negocio o actividad de la entidad imputada y que la falta de información en los formularios de recogida de datos habilitados por la entidad no permite considerar que sus procedimientos de recogida de datos fuesen adecuados, circunstancias que operan todas ellas como agravantes. Estas circunstancias, que no han sido consideradas por la entidad imputada en sus alegaciones, impiden imponer una multa por el importe mínimo previsto. Por otra parte, considerando las modificaciones aplicadas por SEUR en su Política de Privacidad, reseñadas en los Fundamentos de Derecho III y IV, que subsanan los reparos que han determinado la infracción, no se tiene en cuenta la falta de regularización de dicho documento valorada en la propuesta de resolución y se modifica la cuantía de la sanción propuesta, imponiéndose una multa por importe de 10.000 euros>>. III Según ha quedado expuesto, el escrito de recurso reproduce las alegaciones formuladas durante la tramitación del procedimiento, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho transcritos, que contienen un pronunciamiento expreso sobre todos los aspectos reseñados por SEUR. A lo reseñado en dichos Fundamentos de Derecho cabe remitirse para entender suficientemente probada la infracción declarada, que se entiende consumada en relación con la información facilitada por dicha entidad en el momento en que se formuló la denuncia y en la fecha en que tuvieron lugar las comprobaciones efectuadas por el instructor del procedimiento durante la fase de pruebas. SEUR ha manifestado en su escrito de recurso que la resolución no responde a las alegaciones formuladas durante la tramitación del procedimiento; que informa sobre las cesiones a las entidades de la Red SEUR, que se producen para cumplir con el objeto del servicio encargado por el cliente, e incluye un hiperenlace a una relación exhaustiva de las empresas de la Red SEUR, su domicilio y CIF; informa expresamente que la finalidad del tratamiento de los datos “La realización de estudios internos de Marketing con el fin de mejorar nuestros productos y servicios de envío, transporte y logística”; y que ofrecía un procedimiento equivalente a través del 2° párrafo del apartado “Comunicaciones mediante correo electrónico” de la Política de Privacidad con la posibilidad de enviar un correo electrónico en todo momento (antes, durante y después de rellenar cualquiera de estos formularios) manifestando expresamente su negativa al tratamiento o comunicación de datos. Sin embargo, SEUR no ha considerado que la infracción se declara en relación con la información que facilitaba a los afectados en los momentos señalados anteriormente, y no en relación con la Política de Privacidad actual, la aportada con sus alegaciones a la propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 resolución, que subsana las deficiencias de información apreciadas, según la propia resolución reconoce, aunque esto no evita que se entienda consumado el incumplimiento del deber de información por la información insertada en la web con anterioridad. Cabe remitirse a lo indicado en los Fundamentos de Derecho III y IV, en el que se detallan las conclusiones sobre los hechos determinantes de la infracción. En dichos Fundamentos se pone de manifiesto que el objeto del procedimiento está constituido por la información insertada en la web de SEUR en el momento en que se formuló la denuncia y la accedida por el instructor durante la fase de prueba, en fecha 14/04/2015, sobre la que pudo comprobarse, en concreto, que la citada entidad solicitaba el consentimiento del afectado para el tratamiento de sus datos personales con una finalidad comercial, para la promoción de sus propios productos y servicios, sin indicar los sectores de actividad “específicos y concretos” a los que podrá referirse la publicidad (se mencionan algunos sectores de actividad a los que podrá referirse la publicidad, pero emplea fórmulas abiertas e inconcretas, refiriéndose genéricamente a “actividades propias” e, incluso, a “futuros servicios”); e informaba sobre la cesión de los datos a otras entidades del Grupo Seur, sin identificar a los destinatarios de la información y sin detallar los sectores de actividad de tales empresas (la mera mención que se recogía en la Política de Privacidad sobre la posibilidad de comunicar los datos a las entidades integrantes de la Red SEUR “para la realización de actividades propias de su objeto social” no permite deducir la actividad de las mismas ni tampoco que la cesión tenga por objeto exclusivo la ejecución del servicio de transporte contratado); y tampoco se ofrecía la posibilidad de oponerse a las cesiones. En elación con la posibilidad de utilizar los datos para la promoción de los servicios de SEUR, es cierto lo manifestado por la misma en su escrito de recurso cuando señala que la Resolución no tuvo en cuenta que a través del 2° párrafo del apartado “Comunicaciones mediante correo electrónico” de la Política de Privacidad ofrecía al interesado la posibilidad de enviar un correo electrónico en todo momento para expresar su deseo de no recibir publicidad. Sin embargo, esto no modifica la conclusión sobre la infracción constatada, considerando el resto de irregularidades mencionadas. Todo ello determina el incumplimiento del deber de información regulado en el artículo 5 de la LOPD, en relación con el 11.3 de la misma norma, según se advertía en el acuerdo de apertura del procedimiento impugnado, y en relación con los artículos 15 y 45.1.
- b)de su reglamento de desarrollo, que han sido omitidos por SEUR al formular sus alegaciones. Las subsanaciones llevadas a cabo se reconocen en la misma resolución en los términos siguientes: “Finalmente, procede reseñar que la falta de información sobre los sectores de actividad a los que se referirá la publicidad de los productos y servicios de SEUR ha sido corregida en la Política de Privacidad insertada en la web de la entidad a fecha 23/07/2015, en la que se indica que el envío de información se referirá a productos y servicios propios, actuales y futuros, del sector del envío, transporte y logística. Asimismo, se comprueba que los formularios “Contacta con nosotros” y “Alta de usuarios” incluyen una casilla operativa que permite al interesado marcar la opción “No consiento el uso de mis datos para fines comerciales”. “Actualmente, la Política de Privacidad insertada en la web de SEUR detalla que los datos personales pueden ser comunicados a las entidades de la Red Seur, del sector del envío, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 transporte y logística únicamente para la ejecución de los servicios contratados por el usuario. Se informa, por tanto, sobre la finalidad de la cesión, que no se produce con fines publicitarios ni con ningún otro fin distinto al que determinó la recogida de los datos. Por tanto, en relación con esta comunicación de datos, han de entenderse subsanadas las deficiencias apreciadas en la información ofrecida por SEUR en su Política de Privacidad”. Por otra parte, SEUR ha solicitado de nuevo la aplicación al presente caso de lo dispuesto en el apartado 6 del artículo 45 de la LOPD. Sobre esta cuestión ya se advirtió que no se cumplen los presupuestos establecidos en dicho precepto para que resulte aplicable, por cuanto dicha entidad ha sido sancionada anteriormente en materia de protección de datos de carácter personal y que, en todo caso, dicha previsión excepcional no se considera aplicable por la especial diligencia que se exige a las entidades que, por su actividad, realizan un alto volumen de tratamiento de datos. En cuanto a la graduación de la multa, en la resolución impugnada ya se detallan los criterios objetivos tenidos en cuenta para determinar la multa impuesta, no concurriendo nuevos elementos que justifiquen la imposición de una multa inferior. En el recurso interpuesto, por tanto, SEUR no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del mismo. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SEUR, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 30 de julio de 2015, en el procedimiento sancionador PS/00077/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad SEUR, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es