A-00132-2016

1/17 Procedimiento Nº: A/00132/2016 RESOLUCIÓN: R/02543/2016 En el procedimiento A/00132/2016, instruido por la Agencia Española de Protección de Datos a ACTIN ASSOCIATION, vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de agosto de 2015 tiene entrada en esta Agencia un escrito de Don A.A.A., en adelante el denunciante, en el que manifiesta que ANIMAL CARE TREATMENT INTERNATION NETWORK : 1. El sitio web www.actin-spain.com utiliza dispositivos de almacenamiento y recuperación de datos, en adelante DARD sin informar al respecto. 2. Además recaba datos personales, como correo electrónico, nombre teléfono sin solicitar el consentimiento y sin que figure en ningún apartado de la página web la existencia de un fichero inscrito en el Registro General de Protección de Datos, el uso que se va a dar a estos datos o las de medidas de seguridad que aplican. El escrito adjunta captura de pantalla del formulario de contacto del sitio web. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes hechos: 1. El dominio actin-spain.com está registrado a través de un servicio de privacidad prestado por una sociedad con sede en Londres que oculta la identidad del titular real del dominio. 2. El sitio web alojado en el dominio actin-spain.com contiene información sobre ANIMAL CARE TREATMENT INTERNATION NETWORK la rama española de una asociación internacional cuyo objetivo principal es la lucha contra el maltrato animal, en adelante ACTIN ASSOCIATION o denunciada. 3. Se accede al sitio web los días 23 de septiembre, 4 y 6 de noviembre de 2015 comprobándose que: El sitio web dispone de una página de contacto que contiene un formulario de contacto en el que se recaban nombre, dirección de correo electrónico y mensajes como datos obligatorios y el teléfono como dato opcional. La misma página dispone de otro formulario que permite suscribirse al boletín de la entidad y que únicamente recaba la dirección de correo electrónico. La página de contacto identifica al responsable como “Animal Care Treatment International Network - G*****” y proporciona un domicilio postal. La dirección de correo electrónico se muestra en la cabecera de todas las páginas del sitio web.  En la página principal no se encuentra ninguna información en relación a los DARD utilizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 En el pie de la página principal constan dos enlaces, uno que dirige términos y condiciones del sitio y otro a su política de privacidad. a los  La página de política de privacidad y la de condiciones del servicio se encuentran únicamente en lengua inglesa. No se ha observado en las visitas realizadas que el botón con el texto “TRANSLATE” funcione.  La página de política de privacidad informa sobre el tratamiento de datos personales indicando qué datos serán tratados y con qué finalidad, pero no identifica al responsable del tratamiento más allá del texto “ACTIN-Spain”, ni proporciona información sobre la forma de ejercer los derechos de acceso, rectificación, cancelación u oposición que asisten al titular de los datos. En la página se cita una normativa de protección de datos de 1998 sin indicar la norma concreta y su ámbito de aplicación. Tampoco se enlaza a ésta.  La página de política de privacidad informa sobre el uso de DARD indicando qué son las cookies y que su finalidad es la de monitorizar el tráfico a través del sitio web con el fin de realizar un análisis estadístico del mismo. No se indica si al acceder al sitio web se descargan DARD de terceros ni las finalidades de éstos. 4. A fecha 19 de febrero de 2016 no consta fichero alguno en el Registro General de Protección de Datos en el que figure como responsable una entidad con una denominación que incluya los textos “Animal Care Treatment International Network” o “ACTIN-SPAIN” ni con el NIF G*****. 5. Los días 4 y 6 de noviembre de 2015 se realizan pruebas de acceso al sitio web www.actin-spain.com utilizando un navegador Google Chrome y un navegador Mozilla Firefox, respectivamente, durante las cuales se descargan las siguientes DARD persistentes de tercera no exentas del deber de informar previamente a su instalación, las cuales se citan a continuación. 5.1. Cinco DARD vinculados al dominio actin-spain.com que son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web. 5.2. Siete DARD vinculados al dominio addthis.com, que tienen relación con los servicios de compartición de contenidos en redes sociales prestados por AddThis Inc. a través de componentes (botones y botoneras principalmente) instalados en los sitios web. Respecto a los DARD de este dominio, servicio figura : en la página web del prestador del http://support.addthis.com/customer/portal/questions/327365-cookie-audit  La denominada uid contiene un identificador de usuario.  La denominada loc contiene una localización aproximada (a nivel de provincia o región) para que los editores del sitio web puedan conocer la ubicación aproximada de sus visitantes.  La denominada uvc contiene información sobre el número de veces que se detecta a un usuario de AddThis. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17  La denominada dt ayuda a gestionar la caducidad de otros DARD. 5.3. Dos dispositivos de almacenamiento basados en HTML 5 de carácter persistente vinculados uno al dominio actin-spain.com y otro a un subdominio de addthis.com. 5.4. Dos DARD vinculados al dominio adnxs.com, consta en una versión que se conserva en el servicio archive.org (https://web.archive.org.................... ) que el DARD denominado uuid2 tiene como finalidad la de identificar al visitante de forma unívoca de forma que se pueda realizar un seguimiento de la publicidad mostrada y los intereses expresados, mientras que el DARD denominado “sess” únicamente se utiliza para comprobar la posibilidad de usar cookies en el navegador. El DARD uuid2 también sirve, cuando almacena el valor -1, para recordar el deseo de no ser seguido expresado por el usuario. 5.5. Cuatro DARD vinculados al dominio crwdcntrl.com, que al ser visitado redirige al usuario al dominio lotame.com, en el que Lotame solutions Inc. publicita sus servicios de perfilado de visitantes ( https://www.lotame.com........) 5.6. Respecto del DARD del dominio google.com denominada NID, Google Inc informa en su página https://www.google.es.................... que la cookie NID contiene un identificador único que permite asociar al usuario tanto con sus preferencias como ser utilizado con finalidades publicitarias. TERCERO: Con fecha 15 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00132/2016. Dicho acuerdo fue notificado al denunciado con fecha 20 de abril de 2016. En lo que se refiere a la entrega del citado trámite de audiencia a la denunciada, consta en el expediente que el primer envío remitido con fecha 18 de abril de 2016 se extravió durante la fase de admisión, habiéndose comunicado a esta Agencia por la Sociedad Estatal Correos y Telégrafos, S.A. que en sus sistemas no existía constancia de su entrada, circunstancia que motivó la remisión por parte de la AEPD de un segundo envío a la denunciada con fecha 13 de mayo de 2016, el cual fue entregado a la Asociación denunciada el día 18 de mayo de 2016. CUARTO: Con fecha 3 de mayo de 2016 se registran de entrada sendos escritos formulados por ACTIN ASSOCIATION poniendo de manifiesto tanto que se habían solucionado las carencias de información a los usuarios de la página web como que habían inscrito los ficheros en la AEPD con fecha 8 de marzo de 2016, adjuntando a efectos probatorios copia de la siguiente documentación: - Solicitud de inscripción del fichero de “Miembros” de 8de marzo de 2016. Documento de seguridad Copia del “Aviso Legal”, “Política de Privacidad” y “Política de Cookies” Asimismo, aducen que en todos los formularios de la web se solicita e informa al usuario del uso de sus datos por medio de la marcación de una casilla y la aceptación de la política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 Con fecha 6 de mayo de 2016, se registra de entrada nuevo escrito señalando que se ha decidido suprimir el punto 1 de la política de privacidad de la web www.actinspain.com ya que en la actualidad no envían publicidad sobre las actividades de la Asociación ni ceden los datos a colaboradores. QUINTO: Con fecha 4 de octubre de 2016 se constata que en el Registro General de Protección de Datos de la AEPD que la denunciada figura como responsable del fichero “Miembros”, inscrito con fecha 7 de abril de 2016 en dicho Registro, y cuya finalidad declarada es la “Gestión de Miembros, Colaboradores y Usuarios”. SEXTO: Con fechas 4 y 7 denunciada constatándose: de noviembre de 2016 se accede al sitio web de la Que ACTIN ASSOCIATION informa sobre el uso de DARD y las finalidades de los mismos a través de un sistema de información por capas con el contenido que se señala en el Hecho Probado Séptimo. Que dicha Asociación ha introducido en los formularios de “Contacto” y suscripción al Boletín de noticias que utiliza una casilla no marcada de lectura y aceptación de la “Política de Privacidad”, documento ya disponible en lengua española y en el que se recoge la información prevista en los apartados 1 y 2 del artículo 5 de la LOPD, conforme se detalla en los Hechos Probados Octavo y Noveno. HECHOS PROBADOS PRIMERO: Con fecha de 18 de agosto de 2015 se registra de entrada en la AEPD denuncia de Don A.A.A., en adelante el denunciante, exponiendo que en el sitio web www.actin-spain.com no se informa sobre el uso de DARD, se recaban datos de carácter personal sin ofrecer la información prevista en la normativa de protección de datos y no consta fichero inscrito en el Registro General de Protección de Datos a nombre de la denunciada. SEGUNDO: ACTIN ASSOCIATION, es responsable del sitio web www.actin-spain.com, según figura en el “Aviso Legal- ACTIN-SPAIN” del citado portal. TERCERO: Con fechas 23 de septiembre y 6 de noviembre de 2015 se constata que el citado sitio web dispone de los siguientes formularios: - Formulario de contacto en la página de contacto del sitio, en el que se recaban los siguientes datos personales a los usuarios: nombre, email y teléfono, este último como dato opcional. Formulario para suscribirse al boletín de ACTIN facilitando el correo electrónico. En la página de “Política de Privacidad”, en esas fechas únicamente en lengua inglesa, se informa sobre las finalidades con las que los datos serán tratados, pero no se identifica al responsable del tratamiento ni se posibilita el modo de ejercitar los derechos ARCO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 CUARTO: Con fechas 23 de septiembre, 4 y 6 de noviembre de 2015 se accedió al reseñado sitio web verificándose la descarga e instalación de los siguientes DARD persistentes de primera y tercera parte no exentos d el deber de informar previamente a su instalación: - DARD vinculados al dominio actin-spain.com que son utilizadas por el servicio Google Analytics proporcionado por Google Inc. para analizar la navegación de los visitantes del sitio web. - DARD vinculados al dominio addthis.com relacionados con los servicios de compartición de contenidos en redes sociales prestados por AddThis Inc.. - DARD vinculados al dominio adnxs.com, publicitarias y de preferencias. - Dos dispositivos de almacenamiento basados en HTML 5 vinculados al dominio actin-spain.com y a un subdominio de addthis.com. - DARD vinculados al dominio crwdcntrl.com, que al ser visitado redirige al usuario al dominio lotame.com, donde Lotame solutions Inc. publicita sus servicios de perfilado de visitantes ( https://www.lotame.com........) - El DARD denominado NID del dominio google.com con finalidades publicitarias y de preferencias . con finalidades QUINTO: Durante las visitas señaladas en el anterior hecho probado no se localizó en la página principal información alguna relativa a la descarga e instalación de DARD, constando en el documento de Política de Privacidad, redactado en lengua inglesa, la definición de cookies e información sobre que su finalidad era la de monitorizar el tráfico a través del sitio web con el fin de realizar un análisis estadístico del mismo. SEXTO: Con fecha 7 de abril de 2016 se inscribe el fichero “Miembros” en el Registro General de Protección de Datos de la AEPD, siendo ACTIN ASSOCIATION el responsable del citado fichero, cuya finalidad es la “Gestión de Miembros, Colaboradores y Usuarios”. Con anterioridad a esa fecha no constaba inscrito ningún fichero en el citado Registro General con NIF G*****, según se comprobó el 19 de febrero de 2016. SÉPTIMO: Con fechas 4 y 7 de octubre de 2016 se accede al sitio web www.actinspain.com comprobándose que se informa del uso de DARD mediante un sistema de doble capa. En la parte superior de las diferentes páginas (primera capa) aparece el siguiente aviso: “Uso de cookies Utilizamos cookies propias y de terceros para mejorar nuestro servicio y poder realizar un análisis de sus hábitos de navegación. Si continúa navegando, consideramos que acepta su uso. Para más información pinchar AQUÍ. This website uses cookies, by clicking “Aceptar” you agree to their use. ACEPTAR.” El enlace “pinchar AQUI“ dirige a la segunda capa de información constituida por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 documento de “Política de Cookies”, en el que se informa sobre: Qué son las cookies, Tipos de cookies que utiliza la página web y su finalidad (cookies de análisis estadístico, cookies de registro, cookies técnicas, cookies de geolocalización y otras cookies de terceros. Entre estas últimas menciona las cookies analíticas de Google Analytics , las cookies del dominio addthis.com, las cookies del dominio google.com , las coolies del dominio adnxs.com, las cookies del dominio crwdcntrl.net, señalando las finalidades de las mismas. También proporcionan información relativa al modo de desactivar o eliminar las cookies con enlaces a cuatro de los navegadores más utilizados por los usuarios. OCTAVO: Con fechas 4 y 7 de octubre de 2016 se verifica que al pie de los formularios de “Contacto” y suscripción al Boletín de noticias de actina aparece una casilla en blanco junto con la leyenda he leído y acepto la Política de Privacidad”. El texto subrayado es un enlace que permite acceder al citado documento en el que ACTIN ASSOCIATION, como responsable del fichero, informa a los usuarios del portal que los datos personales facilitados se incorporarán a un fichero inscrito en la AEPD, detalla las finalidades de la recogida, indica los destinatarios de la información e indica la forma de ejercitar los derechos ARCO El formulario de “Contacto” recoge el mismo tipo de datos que los requeridos en anteriores accesos. En esa misma página, también se incluye otro formulario solicitando la dirección de correo electrónico para “recibir el boletín de actina”, que también está acompañado por la casilla y leyenda antes reseñadas. Este último formulario figura en otras páginas del portal. En el formulario de suscripción a la lista de correo (Boletín de noticias de actina”) se recaban los siguientes datos personales a los usuarios: dirección de correo electrónico, nombre de pila y apellido. NOVENO: Con fechas 4 y 7 de octubre de 2016 se verifica que al pie de las diferentes páginas del sitio web se incluye un enlace en lengua española a los documentos de “Política de Privacidad”, “Aviso Legal” y “Política de Cookies”. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.1.a),

1. f)y
2. n)de la LOPD y 43.1, párrafo segundo de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a a Directora de la Agencia Española de Protección de Datos. II En el presente procedimiento se imputa a ACTIN ASSOCIATION, en su condición de responsable del sitio web www.actin-spain.com, una infracción del artículo 5 de la LOPD, cuyos apartados 1 y 2 establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
8. c)y
9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo anteriormente señalado la denunciada debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de los formularios obrantes en la página web de su titularidad la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacer previamente a la solicitud de los mismos. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. Es decir, la exigencia de la información requerida en el artículo 5.1 y 2 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. III En el presente caso, a través de los accesos efectuados durante la fase previa de investigación, con fechas 23 de septiembre, 4 y 6 de noviembre de 2015, se constató que a través de los formularios de contacto y de suscripción incluidos en diferentes páginas del sitio web www.actin-spain.com la titular del mismo recogía datos de carácter personal, tales como nombre , dirección de correo electrónico y teléfono) sin ofrecer a los interesados la información, total o parcialmente, prevista en los apartados a),
10. d)y
11. e)del artículo 5.1 de la LOPD. Así, en la política de privacidad no se comunicaba la existencia de un fichero al que se incorporaba la información de carácter personal solicitada, tampoco se identificaba claramente al responsable del tratamiento ni comunicaba a la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (en adelante derechos ARCO). Por lo que consta comprobado que, en las fechas señaladas, la denunciada recogía datos personales de los usuarios a través de los formularios incluidos en la página web de su titularidad sin facilitar a sus titulares, previamente, toda la información preceptiva en materia de protección de datos personales, incumpliendo el deber de información previsto en el artículo 5 de la LOPD. En consecuencia, debe considerarse que ACTIN ASSOCIATION ha incurrido en la infracción leve descrita en el artículo 44.2.
12. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 Sin embargo, durante las visitas efectuadas los días 4 y 7 de octubre de 2016 al sitio web estudiado para constatar la adecuación a los requisitos del deber de información del documento de “Política de Privacidad” alegada por la denunciada, ha podido constatarse que al pie del formulario de “contacto” y de los formularios de suscripción al Boletín de “Actina” aparece una casilla, sin marcar, asociada a la leyenda “He leído y acepto la “Política de Privacidad”, en cuyo texto figura un enlace que conduce a dicho documento de privaciedad, que ya se muestra en lengua española, y en el que ACTIN ASSOCIATION ha incorporado la información que se había observado no se proporcionaba a los interesados a los que se requerían sus datos personales. De este modo, se comprueba que en la “Política de Privacidad” se advierte que los datos personales que faciliten o vayan a ser facilitados serán incorporados en un fichero titularidad del responsable del sitio web que se encuentra inscrito en la AEPD, que los usuarios aceptan libre e inequívocamente que tales datos serán tratados con las finalidades que se reseñan (Hecho Probado Octavo), señalándose el modo de ejercitar los derechos ARCO. IV Asimismo, se imputa a ACTIN ASSOCIATION, la infracción leve del artículo 26.1 de la LOPD, que bajo la rúbrica “Notificación e inscripción registral” establece que: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” Dicho precepto debe ponerse en relación con lo dispuesto en el artículo 55.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), que dispone sobre la “Notificación de ficheros” que: “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” En el presente caso durante la fase de investigación previa, a través del acceso efectuado con fecha 19 de febrero de 2016, se constató que en el Registro General de Protección de Datos no figuraba ningún fichero registrado a nombre de ACTINSPAIN, ANIMAL CARE INTERNATIONAL NETWORK ni ningún responsable de fichero con NIF G*****, únicos datos identificativos que aparecían en el sitio web www.actinspain.com asociados al responsable del tratamiento de los datos personales recabados a través de los formularios obrantes en el mismo. De lo que se colige que a fecha 19 de febrero de 2016 la denunciada no había inscrito fichero alguno bajo su titularidad, a pesar de que recababa y trataba automatizadamente los datos personales de usuarios que cumplimentan los formularios contenidos en dicho portal, incumpliendo con ello el deber de notificar la creación de dicho fichero a la AEPD establecido en el artículo 26.1 de la LOPD. En consecuencia, C/ Jorge Juan, 6 28001 – Madrid ACTIN ASSOCIATION ha incurrido en la infracción leve www.agpd.es sedeagpd.gob.es 10/17 descrita en el artículo 44.2.
13. b)de la LOPD, que tipifica como tal : “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. V No obstante lo anterior, consta también en el procedimiento, que la denunciada ha adjuntado a sus alegaciones al trámite de audiencia documentación que refleja que con fecha 8 de marzo de 2016 había procedido, en su condición de responsable del fichero resultante de la recogida de datos de carácter personal a través de los mencionados formularios, a solicitar en el Registro General de Protección de Datos de la AEPD la inscripción del fichero denominado “Miembros”, que tenía como finalidad la “Gestión de Miembros, Colaboradores y Usuarios”. Este fichero consta como inscrito con fecha 7 de abril de 2016 en dicho Registro. Es decir, antes de recibir el 18 de mayo de 2016 el mencionado trámite de audiencia, ACTIN ASSOCIATION ya había dado cumplimiento al requisito recogido en el artículo 26.1 de la LOPD. VI El apartado 6 del artículo 45 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
15. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, los apartados 4 y 5 del artículo 45 de la LOPD establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
16. a)El carácter continuado de la infracción.
17. b)El volumen de los tratamientos efectuados.
18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
19. d)El volumen de negocio o actividad del infractor.
20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. f)El grado de intencionalidad.
22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17
24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto, en el que se acordó someter a la denunciada a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 5.1 y 2 y 26.1 de la LOPD, se cumplen los requisitos recogidos en los apartados
31. a)y
32. b)del citado apartado 6 del artículo 45 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente la falta de constancia de obtención de beneficios por la denunciada o de perjuicios causados al denunciante o a terceras personas como consecuencia de la comisión de las infracciones a la LOPD citadas. Por lo que habiéndose acreditado la comisión de las reseñadas infracciones procedería el apercibimiento a la denunciada. VII Ahora bien, en el presente supuesto, no obstante lo anterior, debe analizarse la circunstancia de que el apercibimiento que correspondería de acuerdo con el artículo 45.6 de la LOPD, no tendría aparejado requerimiento o medida correctora alguna a adoptar por la denunciada. Téngase en cuenta que durante la tramitación del procedimiento ha quedado acreditado que ACTIN ASSOCIATION ha adoptado las medidas correctoras necesarias para la subsanación de las situaciones irregulares denunciadas en materia de protección de datos. De esta forma, consta acreditado que ha procedido a introducir al pie de los formularios de recogida de datos una casilla, sin marcar, de lectura y aceptación de la “Política de Privacidad” del sitio web que contiene un enlace que dirige a dicho documento, en el que se han incluido las advertencias requeridas en el artículo 5.1 de la LOPD que no figuraban en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 accesos realizados durante la fase de actuaciones previas. Asimismo, la denunciada también ha acreditado que en la fecha en que se le notificó el trámite de audiencia previa al apercibimiento ya había procedido a inscribir en el Registro General de Protección de Datos de la AEPD el fichero de Miembros a fin de dar cumplimiento a lo previsto en el artículo 26.1 de la LOPD. Por tanto, esta Agencia no podría apercibir a la denunciada por la comisión de las infracciones descritas a la normativa de protección de datos requiriéndoles la adopción de medidas correctoras pertinentes, puesto que éstas ya han sido llevadas a cabo por propia iniciativa y de forma diligente por la denunciada, tal y como se ha descrito. A la vista de dicha situación, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que a propósito de la naturaleza jurídica del apercibimiento advierte que “no constituye una sanción”, tratándose de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. Así, la Sentencia entiende que el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de la misma, la Sentencia de la Audiencia Nacional citada concluye que cuando las medidas correctoras objeto del apercibimiento ya hubieran sido adoptadas por el infractor, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista del pronunciamiento recogido en la Sentencia de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011), reforzado posteriormente en su Sentencia de fecha 10/06/2014 (Rec. 166/2013), referentes a los supuestos en los que el sujeto responsable de la infracción ha adoptado las medidas correctoras oportunas para subsanar la situación creada, y de acuerdo con los pronunciamientos señalados debe procederse al archivo de las actuaciones practicadas en relación con las infracciones a los artículos 5.1 y 2 y 26.1 de la LOPD. VIII Por último, también se imputa a ACTIN ASSOCIATION en el presente procedimiento la vulneración del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), que señala que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Dicho precepto extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las denominadas “cookies”, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. El Anexo de la LSSI define en su apartado
33. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
34. a)entiende “ todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) El prestador de servicios de la sociedad de la información, como en este caso la denunciada en su condición de responsable del sitio web www.actin-spain.com al que acceden los usuarios, podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización, estando sometido a las obligaciones y al régimen sancionador de la LSSI. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 consentimiento sobre su uso. deber de informar y obtener el La primera exención requiere que la utilización de los DARD o cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. En este supuesto, a raíz de los accesos realizados por la AEPD durante la fase de investigación previa, en concreto, con fechas 4 y 6 de noviembre de 2015, al portal web www.actin-spain.com se pudo comprobar que durante los mismos se descargaron los DARD de tercera parte señalados en el punto 5.2 del Antecedente Segundo de esta resolución. No obstante lo cual, la denunciada no ofrecía en la página principal ningún tipo de información referida al uso de dichos dispositivos ni sus finalidades, apareciendo únicamente en la página de “Política de Privacidad”, en esas fechas en lengua inglesa, una información genérica sobre el uso de DARD, indicando qué son las cookies y señalando que su finalidad es la de monitorizar el tráfico a través del sitio web con el fin de realizar un análisis estadístico del mismo. Por lo que consta que la denunciada, en su condición de prestador de servicios de la sociedad de la información, utilizaba en las fechas anteriormente señaladas dispositivos de almacenamiento y recuperación de datos (DARD) en los terminales de los usuarios que accedían al sitio web www.actin-spain.com sin facilitarles información clara, completa y accesible sobre su utilización, fines del tratamiento de los datos recabados a través de las cookies analíticas, de compartición de redes sociales, de publicidad comportamental y de preferencias que se descargaban, no informando tampoco sobre los mecanismos de rechazo o bloqueo de tales dispositivos. Esta conducta podría suponer la comisión por parte de ACTIN ASSOCIATION de una infracción del citado artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
35. g)de la citada norma, que señala como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”. IX En el presente supuesto se cumplían los requisitos recogidos en las letras
36. a)y
37. b)del citado apartado 2 del artículo 39 bis de la LSSI así como la concurrencia del supuesto previsto en el artículo 39 bis 1.
38. a)de la misma norma, toda vez que se producía una cualificada disminución de la culpabilidad de la denunciada teniendo en cuenta que concurrían, de forma significativa, las circunstancias de falta de constancia de la existencia de perjuicios al denunciante así como de beneficios obtenidos a raíz de la infracción denunciada. Lo que dio lugar al acuerdo de someter a trámite de audiencia previa al apercibimiento a la denunciada adoptado por la Directora de la AEPD el 15 de abril de 2016. Se observa que el artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 supuestos:
39. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
40. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
41. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
42. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
43. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
44. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
45. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte el artículo 40 de la LSSI, en relación con la “Graduación de la cuantía de las sanciones”, determina lo siguiente: La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
46. a)La existencia de intencionalidad.
47. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
48. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
49. d)La naturaleza y cuantía de los perjuicios causados.
50. e)Los beneficios obtenidos por la infracción.
51. f)Volumen de facturación a que afecte la infracción cometida.
52. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” X Sin perjuicio de lo cual, con C/ Jorge Juan, 6 28001 – Madrid carácter previo a la fijación de las posibles www.agpd.es sedeagpd.gob.es 16/17 responsabilidades imputables a la denunciada con motivo de los hechos descritos en el anterior Fundamento de Derecho, debe procederse a analizar si tales hechos están prescritos con arreglo a lo previsto en el artículo 45 de la LSSI, precepto que establece que : “Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses; las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. A su vez, la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJ-PAC) establece en su artículo 132.2 que: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido.”, El artículo 42 de la citada Ley 30/1992, de 26/11, añade que: “1. La Administración está obligada a dictar resolución expresa en todos los procedimientos y a notificarla cualquiera que sea su forma de iniciación. En los casos de prescripción, renuncia del derecho, caducidad del procedimiento o desistimiento de la solicitud, así como la desaparición sobrevenida del objeto del procedimiento, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables. Por su parte, el Real Decreto 1398/1993, de 4/8, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora establece en su artículo 6.1 lo siguiente: “1. Cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador. Igualmente, si iniciado el procedimiento se concluyera, en cualquier momento, que hubiera prescrito la infracción, el órgano competente resolverá la conclusión del procedimiento, con archivo de las actuaciones. En ambos casos, se notificará a los interesados el acuerdo o la resolución adoptados.” Teniendo en cuenta, por un lado, que la última prueba de acceso efectuada durante las actuaciones previas de inspección al sitio web citado para verificar, con motivo de la denuncia recibida, el cumplimiento del derecho de los destinatarios de servicios de la sociedad de la información establecido en el artículo 22.2 de la LSSI se realizó el 6 de noviembre de 2016 con el resultado indicado en el citado trámite de audiencia previa al apercibimiento, y, atendido, por otro lado, que dicho acto no se notificó a la denunciada hasta el 18 de mayo de 2016 debido al extravío del envío reseñado en el Antecedente Tercero de esta resolución, se ha de concluir que la supuesta infracción leve al artículo 22.2 de la LSSI que se imputa está prescrita al haber transcurrido más de seis meses desde la constatación de los hechos objeto de imputación hasta la notificación del reseñado trámite, motivo por el cual procede archivar las actuaciones practicadas en el expediente que nos ocupa respecto de la mencionada infracción leve a la LSSI. Se observa que la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, vigente a fecha actual, establece en su “Disposición transitoria tercera. Régimen transitorio de los procedimientos“ lo siguiente: “
53. a)A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.ARCHIVAR las actuaciones seguidas en el procedimiento (A/00132/2016) abierto a ACTIN ASSOCIATION con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción de los artículos 5.1 y 2 y 26.1 de la citada norma. SEGUNDO.- ARCHIVAR las actuaciones seguidas en el procedimiento (A/00132/2016) abierto a ACTIN ASSOCIATION con arreglo a lo dispuesto en el artículo 39 bis.2 de la LSSI, en relación con la denuncia por infracción del artículo 22.2 de la citada norma por aplicación de lo dispuesto en el artículo 45 de dicha Ley. TERCERO.- NOTIFICAR el presente Acuerdo a ACTIN ASSOCIATION A.A.A.. y a Don De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es