A-00166-2015

1/5 Procedimiento Nº: A/00166/2015 RESOLUCIÓN: R/01913/2015 En el procedimiento A/00166/2015, instruido por la Agencia Española de Protección de Datos a la entidad AUTOESCUELA BAJO COSTE SEVILLA -- Doña A.A.A., vista la denuncia presentada por el Cuerpo de Seguridad --GUARDIA CIVIL AGRUPACION DE TRAFICO y en virtud de los siguientes, HECHOS PRIMERO. En fecha 04/08/2014 se recibe en esta Agencia Española de Protección de Datos denuncia remitida por el Ministerio del Interior (Dirección General de la Guardia Civil) en dónde se constata la existencia de una página web www.autoescuelabajocoste.com dónde se publicita una escuela de conductores que no se encuentra de alta en los archivos de la D.G.T (Dirección General de Tráfico), la persona que se publicita no tiene titulación. Desde el punto de vista de la normativa vigente en materia de protección de datos, se comprueba que la página web presenta una recogida de datos de carácter personal sin control aparente alguno. Examinada la página web facilitada se constata que la misma permite la captación de potenciales “clientes” sin que se les facilite información alguna en el marco de la LOPD, procediendo a solicitar datos de carácter personal (vgr. nombre, teléfono, mail, etc), sin que se informe a los afectados, ni conste fichero alguno o la inscripción del mismo en el Registro General de Protección de Datos. Según consta acreditado en la denuncia remitida por el Cuerpo de Seguridad (Guardia Civil) la página web está registrada a nombre de Doña A.A.A. titular del DNI ***DNI.1. SEGUNDO. En fecha 18/06/2015 se procede a emitir por el Director de esta Agencia “Acuerdo de Audiencia previa al apercibimiento”, notificado en legal forma, por el Servicio Oficial de Correos, tal como consta acreditado en el expediente administrativo, sin que a día de la fecha se haya recibido contestación alguna en tiempo y forma por la parte denunciada sobre los “hechos” objeto de denuncia. Dicho acuerdo fue notificado a la parte denunciante y al denunciado. TERCERO. Por parte de la Subdirección General de Inspección de Datos se constata que la página web --http://www.autoescuelabajocoste.com-no cumple con la normativa vigente en materia de protección de datos. La página contiene un formulario de recogida de datos de potenciales “clientes” sin que observe la preceptiva política de protección de datos en la materia, de manera que se incumple el contenido del art. 5 LOPD. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 PRIMERO. La presente casusa tiene origen de la Denuncia trasladada por el Cuerpo de Seguridad—Guardia Civil—que constata la existencia de una página web www.autoescuelabajocoste.com que considera que no cumple con la normativa vigente en materia de LOPD. SEGUNDO. Queda acreditado por parte de la Subdirección General de Inspección de Datos, que accediendo a la página web reseñada, la misma contiene un formulario de contratación on-line, dónde se solicitan datos de carácter personal de los potenciales clientes (nombre, apellidos, mail, teléfono) sin que se les facilite información del contenido del art. 5 LOPD. Adicionalmente, se constata que en la página web no se contiene reseña alguna en materia de “Política de privacidad” o en materia de protección de datos de carácter personal, sin que los potenciales clientes sean debidamente informados sobre el modo de ejercitar sus derechos en materia de LOPD o el fichero dónde se recogen y almacenan sus datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En el caso que nos ocupa se denunciaba que el denunciado a través de su página web recababa datos personales que podrían estar suponiendo una vulneración del art. 5 LOPD. El artículo 5 de la LOPD dispone, en su apartado 1º, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 recogida de datos, pues sólo así queda garantizado el derecho del afectado a tener una apropiada información. El deber de información a las personas de las cuales se vaya a obtener cualquier tipo de datos personales, previo al tratamiento de sus datos de carácter personal, es uno de los principios fundamentales sobre los que se asienta la LOPD y así viene encuadrado dentro de su Título II. El incumplimiento del deber de información que contiene el precepto transcrito se encuentra tipificado como falta leve en el artículo 44.2.
7. d)de la Ley Orgánica 15/1999: "El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado" y como falta grave en el artículo 44.3.c): "El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado". III No obstante, la disposición final quincuagésima sexta de la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE 5-3-2011), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
10. a)y
11. b)del citado apartado 6. IV En el presente caso, nos encontramos analizando la denuncia contra la página web— www.autoescuelabajocoste.com---dado que a través de la misma se procede a la recogida de datos de carácter personal sin control aparente alguno. La página contiene un formulario de recogida de datos de potenciales “clientes” sin que observe la preceptiva política de protección de datos en la materia, de manera que se incumple el contenido del art. 5 LOPD. Por tanto, cada persona de la que se pretenda recabar sus datos personales deberá ser informada previamente de todo el contenido del artículo 5.1 para que así conozca para qué finalidad se van a tratar, y por quién, pudiendo además en cualquier momento ejercitar sus derechos de acceso, rectificación, cancelación u oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Cabe indicar que la conducta descrita está tipificada en los términos anteriormente expuestos en el art. 44.2
12. d)LOPD (LO 15/1999). No se ha producido alegación alguna en derecho por la parte denunciada, ni se ha procedido a corregir a día de la fecha la política de la entidad denunciada en el marco de la normativa vigente en materia de protección de datos, de manera que consultada la página web mencionada la misma mantiene la posibilidad de recabar datos de carácter personal de potenciales “clientes” pero sin informarles acerca de la política de protección de sus datos de carácter personal. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00166/2015) a la Entidad denunciada --AUTOESCUELA BAJO COSTE SEVILLA—Doña A.A.A.-- con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como infracción leve en el artículo 44.2 c de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad denunciada AUTOESCUELA BAJO COSTE SEVILLA, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a adecuar la página web que gestiona procediendo a incluir en el formulario de captación de clientes la información necesaria para que quede constancia del fichero en que se conservaran los datos de los afectados, así como el modo de ejercer sus derechos (art. 15 LOPD). A modo de ejemplo: “Los datos que nos suministre a través de los formularios serán tratados de conformidad con la normativa reguladora de protección de datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 La política de protección de datos se deberá reflejar en la página web de una manera accesible para cualquier interesado, siendo recomendable incluirla como “Clausula Deber de Información” o estar a disposición de cualquier titular de los datos en el apartado “Protección de Datos” debiendo informarle de la forma de darse de “Baja” en el caso de que no desee ser cliente de la entidad. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando todos aquellos documentos que estime preciso en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior, así como visualización a través de capturas informáticas del cumplimiento de lo expuesto (aparatado Clausula del Deber de Información). Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/05549/2015, podría incurrir en una infracción del artículo 37.1.
13. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
14. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
15. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la Entidad denunciada-- AUTOESCUELA BAJO COSTE SEVILLA (Doña A.A.A.). 4.- NOTIFICAR el presente Acuerdo a la parte denunciante GUARDIA CIVIL AGRUPACION DE TRÁFICO--. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es