← España

A-00020-2017

1/7 Procedimiento Nº: A/00020/2017 RESOLUCIÓN: R/01076/2017 En el procedimiento A/00020/2017, instruido por la Agencia Española de Protección de Datos a la entidad B.B.B., vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO.- En fecha de 02/03/2016 tiene entrada en esta Agencia un escrito en el que se denuncian irregularidades en la página web alienhost.es en concreto vulneraciones al art. 5 de la LOPD. SEGUNDO.- A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, se practican diligencias teniendo conocimiento de que: 1. En fecha 8/8/2013 fue registrado el dominio alienhost.es apareciendo como titular del dominio B.B.B., y correo electrónico A.A.A. según se desprende de la información facilitada por la Entidad Pública Empresarial Red.es. 2. Mediante diligencia de fecha 16/6/2016 se realiza un acceso a la web alienhost.es comprobándose que: - Ofrece servicios de hosting para juegos. - Dispone de una página titulada Enviar Tiket de Consulta en la que se captan datos personales: nombre y dirección de correo electrónico, así como un campo de texto libre. - Dispone de una página titulada Contacto en la que se captan datos personales: nombre y dirección de correo electrónico, así como un campo de texto libre. - Dispone de un área privada a la que se accede mediante el uso de un identificador de usuario y contraseña de acceso. - Dispone de una página titulada TERMINOS Y CONDICIONES Alienhost y dentro de ella un punto específico titulado TRATAMIENTO DE DATOS, PRIVACIDAD Y PROTECCIÓN DE DATOS DEL CLIENTE en que se recoge: <<AlienHost garantiza que todos los datos recogidos del Cliente serán tratados de acuerdo con la normativa española de Protección de Datos de Carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Personal, según la Ley Orgánica 15/1999, de 13 de diciembre. El Cliente autoriza a AlienHost para el uso y tratamiento informáticos de los datos de carácter personal que éste facilite. Los datos del Cliente serán almacenados en un fichero automatizado localizado en los servidores de AlienHost en un centro de datos de Francia, con las medidas de seguridad físicas y remotas necesaria para garantizar la seguridad de dicho fichero. El Cliente tiene el derecho de acceso, rectificación, oposición y cancelación de los datos de carácter personal que facilite a AlienHost, de acuerdo con la normativa española vigente sobre protección de datos personales. Los datos del Cliente podrán ser cedidos a otras entidades si fuera requerido para la prestación del servicio, facturación, o por motivos legales. Bajo ningún concepto podrá AlienHost ceder ó vender los datos del Cliente para fines promocionales ó comerciales ajenos a los propios productos de AlienHost.>> - Los intentos de encontrar información de cumplimiento del art. 5 de la LOPD han resultado infructuosos. TERCERO: Con fecha 9/02/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00020/2017. CUARTO: En fecha de 24/02/2017 el denunciado envía un correo electrónico solicitando información respecto del procedimiento. QUINTO: En fecha de 7/04/2017 por el Instructor del procedimiento se practicaron diligencias de acceso al sitio web denunciado y al Registro Mercantil Central, obteniéndose información e incorporándola al expediente. HECHOS PROBADOS UNO.- En fecha 8/8/2013 fue registrado el dominio alienhost.es apareciendo como titular del dominio B.B.B., y correo electrónico D.D.D..com según se desprende de la información facilitada por la Entidad Pública Empresarial Red.es. DOS.- En fecha de 16/06/2016 se verificó que en la página web www.alienhost.es consta de diversos medios de obtención de datos personales: 1. Dispone de una página titulada Enviar Tiket de Consulta en la que se captan datos personales: nombre y dirección de correo electrónico, así como un campo de texto libre. 2. Dispone de una página titulada Contacto en la que se captan datos personales: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 nombre y dirección de correo electrónico, así como un campo de texto libre. TRES.- En la misma fecha se verifica la existencia de la siguiente información referida al tratamiento de datos personales: El Cliente tiene el derecho de acceso, rectificación, oposición y cancelación de los datos de carácter personal que facilite a AlienHost, de acuerdo con la normativa española vigente sobre protección de datos personales. Los datos del Cliente podrán ser cedidos a otras entidades si fuera requerido para la prestación del servicio, facturación, o por motivos legales. Bajo ningún concepto podrá AlienHost ceder ó vender los datos del Cliente para fines promocionales ó comerciales ajenos a los propios productos de AlienHost CUATRO.- En fecha de 7/04/2017 se verifico que en la página web www.alienhost.es disponía de medios de obtención de datos personales y ofrecía la siguiente información: (…)el sitio web www.alienhost.es (AlienHost) en adelante “AlienHost” pertenece a Don B.B.B., como negocio particular de AlienHost S.L. en adelante “LA EMPRESA” con domicilio social a estos efectos en (C/...1), Barcelona (España) y número de C.I.F.: B******, inscrita en el Registro Mercantil de Barcelona; facilitando el siguiente correo electrónico de contacto E.E.E....) (…)AlienHost, hará saber al usuario de la existencia y aceptación de las condiciones particulares del tratamiento de sus datos en cada caso, informándole de la responsabilidad del fichero creado, la dirección del responsable, la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación u oposición, la finalidad del tratamiento y las comunicaciones de datos a terceros en su caso.(…) Asimismo, se consta que en el formulario de recogida de datos personales que proporciona el sitio web, no se ofrece ninguna información completa. CINCO.- En la misma fecha se accede al Registro Mercantil Central realizando una búsqueda introduciendo como términos de búsqueda, B.B.B. AlienHost S.L. y B******, sin que se muestre resultados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Dispone el artículo 5 de la LOPD señala que 1. Los interesados a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la página web alienhost.es disponía de distintos medios de obtención de datos de carácter personal. Ni en las pruebas de acceso realizadas en fecha de 16/06/2016 ni en las realizadas en fecha de 7/4/2017 se constató la existencia de un responsable de fichero identificado con dirección a la que dirigirse para ejercer los derechos de acceso, rectificación, cancelación y oposición. Tampoco se informaba de modo claro, sencillo y preciso respecto de la finalidad a la que responde la recogida de datos y el posterior tratamiento. En la primera prueba no consta información alguna respecto de la finalidad del tratamiento y en la segunda, consta que se informara de la finalidad pero nada se concreta. Tampoco consta nada al respecto en los formularios de recogida de datos tal como indica (…) hará saber al usuario de la existencia y aceptación de las condiciones particulares del tratamiento de sus datos en cada caso, informándole de la responsabilidad del fichero creado, la dirección del responsable, la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación u oposición, la finalidad del tratamiento y las comunicaciones de datos a terceros en su caso (…) Por otra parte, no consta expresamente un responsable del fichero, sino que muestra información respecto del responsable de la página web e informa de datos mercantiles que no han podido verificarse en la consulta realizada al Registro Mercantil Central, no constando sociedad alguna en la que B.B.B. sea administrador o apoderado, ni tampoco entidad con la denominación que indicia ALIENHOST SL., ni con el CIF que se muestra en la página web. Todo ello hace que se incumpla el art. 5 de la LOPD, pues el destinatario de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 dicha información no conoce a priori, sin asomo de duda, para qué van a ser tratados su datos, en su caso, para quién podrán ser comunicados los datos que proporcione. Asimismo en cuanto a las expresiones reseñadas dada su inconcreción y ambigüedad debe estarse a lo recogido en la Sentencia de la Audiencia Nacional de 30/11/2005 que señala que (…)«dados los inconcretos términos de dicha leyenda, no es posible entender que en ella se contenga la información precisa que se exige para que pueda hablarse de la existencia de un consentimiento inequívoco que habilite a la hoy demandante para conservar y tratar los datos, ni para cederlos a otras empresas (…)En definitiva, la leyenda examinada no cumple con las exigencias que la legislación sobre protección de datos requiere para la prestación del consentimiento, por no haberse facilitado una información expresa, precisa e inequívoca sobre las finalidades determinadas y explicitas para las que iban a tratarse dichos datos (…) Si bien se advirtió modificaciones en la página web respecto la fecha 16/06/2016 y la de 7/04/2017 se verificaron las condiciones anteriormente descritas, que llevan a la misma conclusión: los usuarios de las citadas páginas webs que introduzcan sus datos personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que según la Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. El titular de los datos personales objeto de tratamiento, debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. En conclusión la entidad denunciada vulnera lo dispuesto en el art. 5 de la LOPD, suponiendo la infracción leve prevista en el art. 44.2
  7. c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 presupuestos:
  8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  10. a)y
  11. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que incluya la información relativa del art. 5 de la LOPD en la recogida de los datos que realice. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00020/2017) B.B.B. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
  12. c)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a B.B.B. de acuerdo con lo establecido en el artículo 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD, para lo que se insta al denunciado a configurar el sitio web de su titularidad de modo que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, identificando al responsable del fichero frente al que ejercer los derechos de acceso, rectificación, cancelación y oposición, y la dirección, así como la finalidad a la que responde la recogida y tratamiento de los datos, y en su caso, sus posibles cesiones. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. TERCERO.- NOTIFICAR el presente Acuerdo a B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.