1/8
Procedimiento Nº: PS/00247/2020
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00247/2020, instruido por la Agencia Española de
Protección de Datos, ante la entidad, ORGANIC AND NATUR 03, S.L., con CIF.:
B93484913 (en adelante, “la entidad reclamada”), en virtud de denuncia presentada
por la CONSEJERÍA DE SALUD Y FAMILIAS DE LA JUNTA DE ANDALUCÍA
-DELEGACIÓN TERRITORIAL EN ***LOCALIDAD.1, (en adelante, “el organismo
reclamante”), y teniendo como base los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 28/11/29, tiene entrada en esta Agencia, denuncia presentada
por el organismo reclamante en la que indicaba, entre otras, lo siguiente:
“En este Servicio de Consumo se tramita el expediente de referencia correspondiente
a las reclamaciones interpuestas contra la empresa ORGANlC AND NATUR 03 S.L.
Tras el examen de la documentación aportada por el reclamante se comprueba que en
el contrato de compraventa se insertan las condiciones generales nº 8 y nº 9, que
pueden contravenir lo dispuesto en los artículos 5 y 6 de la Ley Orgánica 3/20l8, de 5
de diciembre, de Protección de Datos personales y garantía de los derechos digitales.
Se trata de un contrato de adhesión en el que el consumidor, cuando presta su
consentimiento para obligarse, acepta todas y cada una de las cláusulas
predispuestas por el profesional sin posibilidad de negociación alguna. Las
estipulaciones declaran:
8.— Por conocer el alcance y el contenido de la Ley Orgánica 15/99 de protección de
daros personales, el comprador presta su consentimiento informado para que los
datos personales facilitados en virtud de este contrato, y los que se deriven de esta
relación puedan ser incorporados a los ficheros informartizados o no de ORGANIC
AND NATUR 03 SL. Con independencia de lo anterior el comprador declara haber sido
informado y presta su consentimiento para que:
A) Dentro de los estudios crediticios y de solvencia patrimonial de ORGANIC AND
NATUR 03 SL., o terceros actuando en su nombre o a los que haya cedido el crédito
derivado de la compraventa, pueda realizar las investigaciones necesarias para la
formalización del presente contrato y puedan ser utilizados procedimientos de scoring.
B) ORGANIC AND NATUR 03 SL, pueda remitir cuanta información tenga por
conveniente, siempre que guarde referencia con el objeto social de ORGANIC AND
NATUR 03 SL, para el ejercicio de los derechos que reconoce la ley de protección de
datos personales el comprador ha de dirigirse a ORGANIC AND NATUR 03 SL, en el
domicilio social indicado en el anverso.
9. — Además el comprador autoriza expresamente ORGANIC AND NATUR 03 SL. a
que pueda ceder sus datos personales a la entidad financiera a la que ceda este
crédito en su caso, con la finalidad de gestionar el mismo, así como, para remitirle
ofertas comerciales de dicha entidad financiera que puedan resultar de su interés. Si
no lo desea o si desea acceder, rectificar o cancelar sus datos personales rogamos se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
dirija a ORGANIC AND NATUR 03 SL en el domicilio que consta en el anverso de este
documento.
Consideramos que no es posible que todos los consumidores que adquieran
productos fuera del establecimiento mercantil de la empresa ORGANlC AND NATUR
03 SL. conozcan previamente el alcance y contenido de la Ley Orgánica 3/2018”.
Asimismo, es en todo punto improbable que los comerciales de la empresa, además
de exponer a los asistentes al acto las características y virtualidades del producto que
pretenden vender, les informen cumplidamente de las obligaciones que tiene la
empresa respeto al tratamiento que de los datos de carácter personal conforme a la
regulación jurídica contenida en la Ley Orgánica. Tampoco es creíble que un
consumidor medio está capacitado para discernir sobre el significado ni la
trascendencia de un procedimiento de scoring. Como quiera que consideramos que
las cláusulas anteriormente transcritas pudieran ser contrarias a las disposiciones de
la Ley Orgánica Ley Orgánica 3/2018 citada, se remite una copia del contrato aportado
por el reclamante al objeto de que por esa Agencia se realicen las actuaciones que en
Derecho procedan. Asimismo. interesamos que se nos informe del resultado de tales
actuaciones”.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el art 57.1 del Reglamento
(UE) 2016/679 (RGPD). Así, con fecha 20/01/20 y 24/07/20, se dirigen requerimientos
informativos a la entidad reclamada.
Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica
Habilitada, el requerimiento enviado a la entidad reclamada el 20/01/20, a través del
servicio de NOTIFIC@, fue aceptada en destino el 31/01/20.
Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica
Habilitada, el requerimiento enviado a la entidad reclamada el 24/07/20, a través del
servicio de NOTIFIC@, fue rechazada el 04/08/20.
TERCERO: con fecha 09/09/20, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad reclamada, por infracción
de los artículos 13) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la
citada norma, al no tener adaptada su política de tratamiento de datos personales a la
nueva normativa vigente y del artículo 7) del RGPD, al no recabar, de forma
individualizada, el consentimiento del cliente, para el tratamiento de sus datos
personales, cuando su fin sea distinto al perseguido en la ejecución del contrato.
CUARTO: Con fecha 20/09/20, se notificó la incoación de expediente a la entidad
reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación,
dentro del el periodo concedido al efecto.
HECHOS PROBADOS
1º.- En el artículo 8 de las “Condiciones Generales”, del contrato de adhesión entre la
entidad reclamada y el usuario, se comprueba que en el mismo se sigue haciendo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de
Datos de Carácter Personal.
2º.- Respecto del consentimiento dado por el usuario, al que se hace referencia en el
artículo 9 de las “Condiciones Generales”, del contrato de adhesión entre la entidad
reclamada y el usuario, en el mismo se indica que: “Además el comprador autoriza
expresamente ORGANIC AND NATUR 03 SL. a que pueda ceder sus datos
personales a la entidad financiera a la que ceda este crédito en su caso, con la
finalidad de gestionar el mismo, así como, para remitirle ofertas comerciales de dicha
entidad financiera que puedan resultar de su interés(…)”.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en
el art. 47 de LOPDGDD.
II
Respecto del artículo 8 de las “Condiciones Generales”, del contrato de adhesión entre
la entidad reclamada y el usuario, se comprueba que en el mismo se sigue haciendo
referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de
Datos de Carácter Personal.
Según el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue,
“a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)”
y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18,
quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa
fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD.
Por su parte, el artículo 13 del RGPD, establece la información que se debe
proporcionar al interesado en el momento de recogida de sus datos personales.
Información que no aparece en la “política de privacidad” de la página web en
cuestión.
Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al
reclamado, por vulneración del artículo 13 del RGPD, que establece la información que
se debe proporcionar al interesado en el momento de recogida de sus datos
personales.
Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
De acuerdo con los preceptos indicados y a efectos de fijar el importe de la sanción a
imponer en el presente caso, se considera que procede graduar la sanción a imponer
de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD:
- La intencionalidad o negligencia en la infracción. En el presente caso estamos
ante acción negligente no intencional, (apartado b).
- Las categorías de los datos de carácter personal afectados por la infracción.
(apartado g).
- La forma en que la autoridad de control tuvo conocimiento de la infracción. La
forma en que esta AEPD ha tenido conocimiento ha sido por la interposición de
la denuncia por parte del organismo reclamante, (apartado h).
De acuerdo con los preceptos indicados y a efectos de fijar el importe de la sanción a
imponer en el presente caso, se considera que procede graduar la sanción a imponer
de acuerdo con los siguientes criterios que establece el artículo 76.2 de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 del
RGPD, permite fijar una sanción de 4.000 euros, (cuatro mil euros).
III
Respecto del consentimiento dado por el usuario, al que se hace referencia en el
artículo 9 de las “Condiciones Generales”, del contrato de adhesión entre la entidad
reclamada y el usuario, en el mismo se indica que: “Además el comprador autoriza
expresamente ORGANIC AND NATUR 03 SL. a que pueda ceder sus datos
personales a la entidad financiera a la que ceda este crédito en su caso, con la
finalidad de gestionar el mismo, así como, para remitirle ofertas comerciales de dicha
entidad financiera que puedan resultar de su interés(…)”.
Pues bien, el artículo 6.1. del RGPD, establece que el tratamiento solo será lícito si se
cumple al menos una de las condiciones que se indican en el mismo, entre las que se
encuentra, en su apartado b), si el tratamiento es “necesario para la ejecución de un
contrato en el que el interesado es parte o para la aplicación a petición de este de
medidas precontractuales”, en cuyo caso, el envío de comunicaciones que guarden
íntima relación con el fin del contrato firmado, estaría abalado por este precepto.
No obstante, para cualquier otro tipo de comunicación con el cliente, como en este
caso, para, “remitirle ofertas comerciales de la entidad (…)”, sin especificar una
finalidad concreta, y donde cabría, por tanto, cualquier tipo de comunicación comercial
fuera o no relacionada con el fin último del contrato firmado, se debe aplicar lo
dispuesto en el apartado a) del artículo 6.1 del RGPD, donde se especifica que, “el
tratamiento solo será lícito si el interesado dio su consentimiento para el tratamiento
de sus datos personales para uno o varios fines específicos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
Por su parte, el artículo 7 del RGPD, establece, sobre el consentimiento, que: “1.
Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales. 2. Si el consentimiento del interesado se da en el contexto de una
declaración escrita que también se refiera a otros asuntos, la solicitud de
consentimiento se presentará de tal forma que se distinga claramente de los demás
asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo.
No será vinculante ninguna parte de la declaración que constituya infracción del
presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en
cualquier momento. La retirada del consentimiento no afectará a la licitud del
tratamiento basada en el consentimiento previo a su retirada. Antes de dar su
consentimiento, el interesado será informado de ello. Será tan fácil retirar el
consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente,
se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la
ejecución de un contrato, incluida la prestación de un servicio, se supedita al
consentimiento al tratamiento de datos personales que no son necesarios para la
ejecución de dicho contrato”.
En relación con estos dos artículos citados, se debe tener en cuenta el considerando
(32) del RGPD, pues indica que: “El consentimiento debe darse mediante un acto
afirmativo claro que refleje una manifestación de voluntad libre, específica, informada,
e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal
que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no
deben constituir consentimiento. El consentimiento debe darse para todas las
actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el
tratamiento tenga varios fines, debe darse el consentimiento para todos ellos…”
Igualmente, el artículo 6.2 de la LOPDGDD establece, sobre el tratamiento basado en
el consentimiento del afectado, que: “Cuando se pretenda fundar el tratamiento de los
datos en el consentimiento del afectado para una pluralidad de finalidades será
preciso que conste de manera específica e inequívoca que dicho consentimiento se
otorga para todas ellas”.
Pues bien, de acuerdo con todo lo expresado anteriormente, el tratamiento de datos
requiere la existencia de una base legal que lo legitime, como en este caso, si es
necesario para la ejecución de un contrato en el que el interesado es parte, en cuyo
caso el envío de la correspondencia, incluida la comercial, que estuviera ligada a la
ejecución del contrato, estaría abalada por este precepto. No así, cuando el envío de
correspondencia comercial no tiene la misma finalidad que la incluida en el contrato,
en cuyo caso, es necesario el consentimiento del interesado prestado válidamente.
Este consentimiento debe darse para cada una de las finalidades ajenas al contrato
firmado por el cliente. No es válido, por tanto, una aceptación genérica, como “el envío
de correspondencia comercial de la entidad”, sin dar opción a dar un consentimiento
individualizado para cada una de ellas y sobre todo, si son ajenas a la finalidad del
contrato.
Así las cosas, los hechos conocidos podrían ser constitutivos de una infracción,
imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
realizar la recogida del consentimiento mediante una acción genérica para todos los
fines del tratamiento de los datos.
Por su parte, el artículo 72.1.c) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”.
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación: b)
sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando
las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83,
además o en lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular, por lo que, la sanción que pudiera
corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción
del presente expediente, pues en este caso, no se ha constatado que la entidad
reclamada haya realizado envío de correspondencia comercial ajeno al fin último de
las condiciones del contrato.
Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción
de “APERCIBIMIENTO”, por la infracción del artículo 7 del RGPD.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
RESUELVE
PRIMERO: IMPONER a la entidad, la entidad ORGANIC AND NATUR 03, S.L., con
CIF.: B93484913, dos sanciones, respecto de la política de privacidad y recogida de
consentimiento, consistente en:
- 4.000 euros (cuatro mil euros), por la infracción del artículo 13) del RGPD,
respecto a su política de tratamiento de los datos personales de los clientes.
- Apercibimiento, por la infracción del artículo 7) del RGPD, respecto a la
recogida del consentimiento de los clientes para el tratamiento de sus datos
personales.
SEGUNDO: REQUERIR a la entidad ORGANIC AND NATUR 03, S.L. para que, en el
plazo de un mes desde este acto de notificación, proceda a:
- Tomar las medidas necesarias para adecuar su política sobre el tratamiento de
datos personales, a lo estipulado en el artículo 13 del RGPD, adecuándola a la
nueva normativa vigente.
- Tomar las medidas necesarias para recabar el consentimiento del cliente para
el tratamiento de sus datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
TERCERO: NOTIFICAR la presente resolución a la entidad ORGANIC AND NATUR
03, S.L, y al reclamante sobre el resultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período
ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de
diciembre, de medidas fiscales, administrativas y del orden social, la presente
Resolución se hará pública, una vez haya sido notificada a los interesados. La
publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de
diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus
Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución, o, directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto
legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es