A-00087-2016

1/5 Procedimiento Nº: A/00087/2016 RESOLUCIÓN: R/01234/2016 En el procedimiento A/00087/2016, instruido por la Agencia Española de Protección de Datos a la entidad LASTFRINTXE S.L.., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO.- Con fecha de 29/10/2015 tiene entrada en esta Agencia un escrito de A.A.A., en adelante el denunciante, en el que manifiesta, en síntesis, que la página web www.tecnicocasa.es no consta el Aviso Legal sin que se pueda conocer el titular de la misma. Aporta impresión de pantalla de la página web SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas se desprende lo siguiente: 1. La página web consta de “Aviso Legal” donde aparecen la identidad del titular del sitio web, y en el punto 7 relativo a la “política respecto a los datos personales obtenidos a través del sitio web” consta que (…)sin perjuicio de lo previsto e indicado en cada uno de los formularios del sitio web, cuando el usuario facilita sus datos de carácter personal autoriza expresamente a la compañía el tratamiento de sus datos personales para las finalidades que en los mismos se indican (…) 2. En el formulario de recogida de datos no consta ninguna finalidad. No consta información relativa al ejercicio de los derechos de acceso, rectificación, cancelación y oposición. 3. En la página web consta que el responsable es LASTFRINTXE, S.L. que es la empresa que según consta en red.es es la titular del dominio tecnicocasa.es TERCERO: Con fecha 25/02/2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00087/2016. Dicho acuerdo fue notificado a los denunciantes y al denunciado. Sin que se hayan recibido alegaciones del denunciado en su defensa. CUARTO: De las actuaciones han resultado los siguientes HECHOS PROBADOS UNO.- En fecha de 11/01/2016 se accedió al sitio web denunciado y se verificó en el enlace AVISO LEGAL, en el punto 7.1 se informa de la recogida de datos a través de formularios (…) para las finalidades que en los mismos se indican (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 DOS.-En el formulario que consta en el citado sitio web en fecha de 11/01/2016, no consta información alguna respecto de la finalidad. TRES.- a fecha de 14/07/2016 consta la información en la web en idénticos términos que los descritos en el Hecho probado Uno. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 5 de la LOPD que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso, ha resultado acreditado que a través de la web denunciada se recogen datos de carácter personal sin ofrecer la información prevista en el artículo 5 de la LOPD. No puede afirmarse que las finalidades en el tratamiento de los datos personales estén expuestas de modo que los usuarios conozcan el destino y para qué se pueden utilizar sus datos personales. De tal modo que los usuarios de la página web que se inscriben introduciendo sus dato personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. En conclusión el deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. III El articulo 44.2
7. c)de la LOPD considera infracción leve “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ En el presente caso se cumplen los requisitos que tipifica el precepto, en la medida que la denunciada a través de la página web recogía datos de carácter personal sin ofrecer la información requerida en el art. 5 de la LOPD. Por lo expuesto, se hace necesario que LASTFRINTXE introduzca una política de información respecto al tratamiento de los datos personales de los usuarios de la página web que informe sobre la finalidad del tratamiento, ya que se estima deficiente en cuanto al deber de información que realice una remisión respecto de la finalidad a cada formulario de recogida de datos cuando en dichos formularios nada consta al respecto. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
10. a)y
11. b)del citado apartado 6 del artículo 45 de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 SE ACUERDA: PRIMERO.- APERCIBIR (A/00087/2016) a LASTFRINTXE S.L.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
12. c)de la citada Ley Orgánica. SEGUNDO.- REQUERIR a LASTFRINTXE S.L.. de acuerdo con lo establecido en el citado artículo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 5 de la LOPD, para lo que se insta a dicha entidad a establecer mecanismos que eviten la recogida de datos de carácter personal, sin la información que requiere dicho precepto. Tal como señala el Fundamento de Derecho II y III de la presente resolución. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/03875/2016 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. Con la advertencia de que en caso de no atender el citado requerimiento podría incurrir en una infracción del artículo 37.1.
13. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
14. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
15. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. TERCERO: NOTIFICAR el presente Acuerdo a LASTFRINTXE S.L., y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es