A continuación se realiza un análisis de una reciente Resolución de la Agencia Española de Protección de Datos (R/00284/2008), en la que se impone una sanción a 2 empresas de 270.000€ por recibir un menor una carta postal en la que se le ofrecía la posibilidad de contratar una tarjeta Visa. Al final de esta entrada os doy cuenta de mis reflexiones sobre este caso en concreto.

1) Empresas imputadas:

• Bankinter: Banco que quiere llevar a cabo una actividad de promoción de uno de sus productos financieros.
• Antevenio: Empresa que realiza promociones y publicidad con sus propios ficheros para dichas actividades comerciales.

2) Antecedentes:

• Bankinter celebra contrato con Antevenio con el objetivo de lanzar una campaña promocional para la contratación de su tarjeta “Visa Oro de Capital One”.
• El fichero que se utilizó para esa campaña, denominado “correo direct hombres”, es titularidad de Antevenio y se encuentra debidamente inscrito en el registro general de la AEPD. Contiene en sus registros a hombres mayores de edad que se habían registrado como usuarios en diferentes páginas web de empresas afiliadas a Antevenio.
• Las personas que se incluyen en el mencionado fichero han aceptado la recepción de e-mail marketing y marketing directo.
• Un menor recibe la mencionada publicidad y, tras la denuncia por su parte, la AEPD inicia procedimiento sancionador.

3) Alegaciones recibidas por la AEPD:

Notificado el acuerdo de inicio de procedimiento sancionador por este último hecho, la AEPD recibe las siguientes alegaciones:

• Por parte de Antevenio, se solicita el archivo del expediente en base a las siguientes premisas:
  • Cumple con el deber de información previa a la prestación del consentimiento inequívoco previsto en la LSSI.
  • Cumple con el art. 4 LOPD, ya que sólo se recabaron aquellos datos necesarios para la finalidad propia del servicio.
  • El tratamiento de datos se realizó con el consentimiento inequívoco de su titular, ya que el sistema no permitía el acceso al servicio a menores y el afectado, de forma intencionada o no, introdujo una fecha falsa. El menor cumplimentó el campo correspondiente a su año de nacimiento con 2 dígitos en lugar de 4 (año 95 en lugar de 1995) por lo que sistema entendió que el chaval tenía 1911 años, cuando en realidad sólo tenía 9.
  • El menor manifestó en una de las páginas Web su voluntad de recibir publicidad, habiendo sido informado debidamente de las consecuencias y sus derechos.
  • No existe prueba alguna de intencionalidad por parte de Antevenio de incumplir con la normativa vigente en materia de protección de datos.

• Por parte de Bankinter, se alega lo siguiente:
  • Que el inicio del procedimiento sancionador vulnera el principio de tipicidad. Bankinter, aún siendo beneficiario de la campaña publicitaria, no accedió a los datos ni decidió la finalidad ni el uso del fichero propiedad de Antevenio. Sólo se limito a contratar a una empresa para que realizara la campaña publicitaria y todo ello queda probado en los contratos firmados por las partes intervinientes.Considera que el menor tuvo capacidad suficiente para introducir sus datos en el formulario, por lo que no existe falta de consentimiento tal y como el menor alega.
  • No existe prueba alguna de intencionalidad por parte de Bankinter de incumplir con la normativa vigente en materia de protección de datos.
  • La naturaleza del producto ofertado no ha comportado lesión alguna para el menor.

4) Hechos que la AEPD considera probados:

• Que el fichero utilizado para la campaña estaba debidamente inscrito en el Registro General de la AEPD y que en el fichero aparecen los datos de menor, pero en su registro concreto no consta la fecha de nacimiento que introdujo al registrarse, tampoco la de 2 dígitos.
• Que existen las relaciones contractuales necesarias para llevar a cabo la campaña promocional entre Bankinter y Antevenio.
• Que un menor de 9 años recibió la mencionada publicidad por parte de Bankinter.

5) Fundamentos de derecho por parte de la AEPD:

• Respecto a los actos llevados a cabo por Antevenio:
  • Se ha producido una infracción del art. 6.1 LOPD. Este precepto establece que las empresas que traten datos de menores deberán extremar la diligencia facilitando información adecuada, comprobando la edad del menor y, en caso de duda, absteniéndose a realizar el tratamiento de sus datos. En opinión de la AEPD, Antevenio no adoptó las medidas adecuadas para evitar el registro del menor, siendo insuficiente para la AEPD que Antevenio se limitase a informar a los usuarios en las condiciones del servicio que el mismo no “no está permitido a menores”.
  • Se ha producido una infracción del art. 11.1 LOPD. Antevenio no ha justificado ante la AEPD que dispusiera del consentimiento para ceder los datos del afectado a Bankinter con la finalidad de que esta entidad los utilizara para promocionar sus productos y servicios.

• Respecto a los actos llevados a cabo por Bankinter:
  • Se ha producido una infracción del art. 6.1 LOPD, al tratar los datos del afectado sin su consentimiento. En opinión de la AEPD queda acreditado que fue Bankinter quien decidió sobre la finalidad, contenido y uso de la campaña promocional y ello le convierte en responsable del tratamiento.

Fuente: www.miguelangelmata.com