A-00166-2017

1/15 Procedimiento Nº: A/00166/2017 RESOLUCIÓN: R/02614/2017 En el procedimiento A/00166/2017, instruido por la Agencia Española de Protección de Datos a la entidad TENGO ENTRADAS S.L., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9/03/2017 tiene entrada en el registro general de esta Agencia, un escrito de la AGENCIA ESPAÑOLA DE CONSUMO, SEGURIDAD ALIMENTARIA Y NUTRICIÓN (AECOSAN en lo sucesivo) en el que denuncia a varias páginas web, por la vulneración de las obligaciones legales en materia de información y consentimiento relativas al uso de cookies, -dispositivos de almacenamiento y recuperación de datos (DARD en lo sucesivo)- y en relación con las políticas de privacidad y su adecuación a la LOPD. SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección de la Agencia Española de Protección de datos, se practican diligencias de investigación teniendo conocimiento de lo siguiente: Mediante diligencia de inspección de fecha de 26/04/2017 se obtiene la siguiente información respecto de la página web ***URL.1: 1- Respecto de la identidad del Prestador del Servicio: 1.1. Titularidad del dominio: TENGO ENTRADAS, S.L. 1.2. Información Mercantil (Registro Mercantil Central: TENGO ENTRADAS S.L.., ***DIRECCIÓN.1 1.3 2- Actividad: venta on-line de entradas a eventos relacionados con el ocio. Respecto de los deberes de información y consentimiento relativos al uso de DARD. -Información de DARD al acceder (primera capa): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 (…) Al permitirnos usar cookies podrás disfrutar de nuestro sitio con todas las funcionalidades. Más información. ENTENDIDO.(…) -DARD descargados al acceder: tal como consta en la Diligencia de inspección incorporada al expediente, se verifica la descarga e instalación de DARD de terceros de carácter persistente con finalidad de analítica web y publicitarias con independencia de haber aceptado su uso. -Al hacer clic en MAS INFORMACION se redirige la navegación a ***URL.2 que se analiza a continuación. -Al volver a la página principal se oculta la primera banda informativa y no es posible acceder a la política de cookies. -Respecto a la existencia de la Política de cookies (segunda capa), en el enlace ***URL.2 consta la siguiente información: En cumplimiento de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico; le informamos de la utilización de cookies en nuestra web con el fin de facilitar y mejorar la navegación a los usuarios, recordando por donde navegó en el sitio web, su nombre de usuario al registrarse, las preferencias y configuraciones de visualización, y ofreciendo a cada usuario información que puede ser de su interés. ¿Qué son las cookies?. Una cookie es un fichero que se descarga en su ordenador o el dispositivo que utilice (Smartphone, tableta, televisión conectada….) al acceder a determinadas páginas web o aplicaciones. Las cookies permiten, entre otras cosas, recopilar información estadística, facilitar ciertas funcionalidades técnicas, almacenar y recuperar información sobre los hábitos de navegación o preferencias de un usuario o de su equipo y, dependiendo de la información que contengan y de la forma en que utilice su equipo, pueden utilizarse para reconocer al usuario. Una cookie se almacena en un ordenador con el fin de identificar al navegador mientras interacciona con nuestras webs o aplicaciones. Un sitio web puede establecer una un sitio web acceda a las cookies que éste establece, no a las que establecen otros sitios Web. En nuestra web se utilizan cookies de terceros, que permiten recoger datos anónimos estadísticos sobre las visitas recibidas con el fin de realizar un seguimiento de las campañas publicitarias que pudieran estar vigentes en el momento de la visita. Importancia de las cookies. TENGOENTRADAS utiliza estas cookies por

1. a)motivos operativos: Equilibrado y limitación del tráfico como método de aseguramiento del servicio;
2. b)por facilidad de uso: Hacer más fácil y amigable la navegación en las webs y aplicaciones, por ejemplo, recordar aspectos del usuario como su idioma, país, navegador, etc... Determinadas cookies son fundamentales para que pueda utilizar servicios de las web. TENGOENTARADAS en ningún caso realiza registro de las actividades que el usuario lleva a cabo en la red ni elabora perfiles de éste. Tipos de cookies utilizadas en TENGOENTRADAS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 utilizamos la cookie de sesión AWSELB. La cookie persistente cookie_test permite a nuestro sistema asegurarse de que aceptas las cookies imprescindibles para que puedas comprar y vender con nosotros. Son la anteriormente descrita AWSELB y la cookie de sesión de nuestra web osCsid. Las cookie cookieconsent_dismissed nos permiten almacenar la información sobre tu consentimiento para que utilicemos el resto de cookies. Las cookies cc_analytics y cc_social nos permiten almacenar la información sobre tu consentimiento para que utilicemos el resto de cookies según su categoría. Bloquear estas aceptando sólo las cookies imprescindibles. Si no sabes como hacerlo y la información facilitada más abajo no te ayuda ponte en contacto con nosotros en ***EMAIL.1 y te ayudaremos a realizar estos cambios. Puedes deshabilitar estas cookies en esta misma página en la "pestaña" Configuración de Cookies. búsqueda desde el que se ha visitado la web y qué términos de búsqueda se utilizaron para encontrarlo, calculan el tiempo pasado en la web en cada sesión y el número de veces que el usuario ha visitado la página.En función de la entidad que gestiona las cookies, éstas pueden ser propias (gestionadas por TENGOENTRADAS, ninguna en la actualidad) o de terceros prestadores de servicios publicitarios, técnicos, de análisis o estadísticos cuya finalidad es mejorar nuestros servicios. Las cookies utilizadas son las propias de google analytics. Puedes encontrar más información sobre ellas y las políticas de google aquí. información sobre ellas y las políticas de livechat inc aquí (en inglés). Para que puedas iniciar sesión en nuestro sitio web desde facebook y seguirnos con un me gusta utilizamos las cookies de facebook, gestionando nosotros la cookie fbsr_185381614873838 siendo todo el resto gestionadas y utilizadas por facebook. Puedes encontrar más información sobre ellas y las políticas de facebook aquí. Si decides enviarnos un tweet o seguirnos es posible que twitter utilice cookies durante el proceso. Puedes encontrar más información sobre ellas y las políticas de twitter inc aquí. Aquí puedes encontrar información sobre como gestionar las cookies en los navegadores y dispositivos más comunes. Si tienes problemas para deshabilitar las cookies en nuestro sitio y la información aquí facilitada no es suficiente ponte en contacto con nosotros en ***EMAIL.1 y te ayudaremos a deshabilitarlas, lamentablemente si no aceptas nuestras cookies técnicas, salvo forma permanente, si no sabes como pregúntanos en ***EMAIL.1. Aceptación de cookies. Si usted continúa su navegación una vez informado sobre la Política de Cookies, entenderemos que acepta la utilización de las cookies por parte de la web y aplicaciones. Sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 embargo, si usted quiere, puede cambiar la configuración de cookies en cualquier momento, configurando su navegador para aceptar, o no, las cookies que recibe o para que el navegador le avise cuando un servidor quiera guardar una cookie. Le informamos que en el caso de bloquear o no aceptar la instalación de cookies, es posible que ciertos servicios no estén disponibles sin la utilización de éstas o que no pueda acceder a determinados servicios ni tampoco aprovechar por completo todo lo que nuestra web y aplicaciones le ofrecen. Además del uso de cookies propias de TENGOENTRADAS, permitimos a terceros establecer cookies y acceder a ellas en su ordenador. El consentimiento del uso de las cookies de estas empresas está ligado a la navegación por este sitio. (…) En caso de que TENGOENTRADAS prestara algún tipo de servicio especial en el que determine unas previsiones específicas diferentes a éstas en lo relativo a la protección de datos personales y la utilización de cookies, prevalecerán las normas particulares indicadas para ese servicio en particular sobre las presentes. Al acceder a este sitio web o aplicación por primera vez, verá una ventana donde se le informa de la utilización de las cookies y donde puede consultar esta “Política de cookies”. Si usted consiente la utilización de cookies, continúa navegando o hace clic en algún link se entenderá que usted ha consentido nuestra política de cookies y por tanto la instalación de las mismas en su equipo o dispositivo. Los posibles cambios en nuestra web nos obligan a revisar esta política periódicamente, ha sido revisada por última vez el 30 de Mayo de 2016. Al final de la página consta un banner con el texto CONFIGURACION DE configuración respecto de:  Redes Sociales indicando: Para algunas funcionalidades necesitamos saber quién eres en las redes sociales y un desplegable permitiendo ACEPTAR o NO ACEPTAR.  Que te Gusta de Nosotros: Saber que te gusta de nuestra web nos permite mejorar tu experiencia en la web y un desplegable permitiendo ACEPTAR o NO ACEPTAR.  Por el Inspector actuante se determinan los valores en REDES SOCIALES y QUE TE GUSTA DE NOSOTROS como ACEPTAR, no encontrándose botón o acción para confirmar la elección. 3 Respecto de la recogida de datos de carácter personal y la información ofrecida en la política de privacidad. 3.1 Se verifica la existencia de formularios de recogida de datos de carácter personal en los siguientes enlaces: ***URL.3 solicita nombre, apellidos y dirección de email. ***URL.4 solicita la siguiente información Nombre, apellidos, DNI, email muestra el siguiente texto He leído y comprendido el aviso legal y para finalizar debe accionarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 el enlace Crear cuenta 3.2 en el AVISO LEGAL aloja en el enlace ***URL.2 consta la siguiente información: Tengo Entradas S.L. garantiza la seguridad y confidencialidad de los datos de carácter personal facilitados por sus clientes, y así, de conformidad con lo establecido en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y en la normativa de desarrollo, el cliente/usuario queda informado y presta su consentimiento a la incorporación de sus datos a los ficheros automatizados existentes en Tengo Entradas S.L. y al tratamiento automatizado de los mismos, incluyendo aquellos a los que esta empresa tenga acceso como consecuencia de su navegación por esta página web, para las finalidades de envío de comunicaciones comerciales, comercialización de productos y servicios, del mantenimiento de su relación contractual y de gestión con Tengo Entradas S.L. , al objeto de adecuar nuestras ofertas comerciales a sus características particulares. Los destinatarios de dichos datos serán los servicios comerciales y técnicos de Tengo Entradas S.L. La política de privacidad de Tengo Entradas S.L. le asegura, en todo caso, el ejercicio de los derechos de acceso, rectificación, cancelación, información de valoraciones y oposición, en los términos establecidos en la legislación vigente. Por ello, de conformidad con lo establecido en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y en la normativa de desarrollo, Tengo Entradas S.L. garantiza la adopción de las medidas necesarias para asegurar el tratamiento confidencial de dichos datos y le informa de la posibilidad de ejercitar, conforme a dicha normativa, los derechos de acceso, rectificación, cancelación y oposición, dirigiendo un escrito a: Tengo Entradas S.L. ***DIRECCIÓN.1 3.3 Informa de tratamientos al margen de la prestación del servicio y no permite oponerse a dichos tratamientos en el momento del registro. TERCERO: En fecha 2/06/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa a TENGO ENTRADAS S.L.., el presente procedimiento de apercibimiento A/00177/2017 con relación a la denuncia por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI) tipificada como leve en el artículo 38.4
3. g)de dicha norma y por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
4. c)de la LOPD, en relación con el artículo 15 del RDLOPD. CUARTO: En fecha de 22/06/2017 por el Servicio de Notificaciones de la Sociedad Estatal de Correos y Telégrafos, se intentó la práctica de la notificación en el domicilio de la denunciada con resultado Ausente y en fecha de 23/06/2017 fue devuelto a origen por Dirección incorrecta. La notificación se envió al domicilio de la entidad denunciada que consta en el Registro Mercantil Central, que coincide con el domicilio que figura en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 su página web. El Acuerdo de Audiencia Previa se publicó en el BOE número 163 de 10/07/2017 Supl. N. Pág. 1. QUINTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS Uno.- En fecha de 26/04/2017 se accede al sitio web ***URL.2 y se verifica la descarga e instalación de DARD de terceros de carácter persistente con finalidad de analítica web y publicitarias con independencia de haber aceptado su uso. Dos.- La información que consta al acceder respecto del uso de DARD es la siguiente: (…) Al permitirnos usar cookies podrás disfrutar de nuestro sitio con todas las funcionalidades. Más información. ENTENDIDO.(…). Al hacer clic en MAS INFORMACION se redirige la navegación a ***URL.2 Al volver a la página principal se oculta la primera banda informativa y no es posible acceder a la política de cookies. Tres.- En el enlace ***URL.2 Al final de la página consta un banner con el texto CONFIGURACION DE COOKIES que al acceder se muestra un cuadro de dialogo dónde muestra una configuración para DARD, sin que sea posible confirmar la elección realizada. Cuatro.- Se verifica la existencia de formularios de recogida de datos de carácter personal en los siguientes enlaces: ***URL.3 solicita nombre, apellidos y dirección de email. ***URL.4 solicita la siguiente información Nombre, apellidos, DNI, email muestra el siguiente texto He leído y comprendido el aviso legal y para finalizar debe accionarse el enlace Crear cuenta Cinco.- En el AVISO LEGAL alojado en el enlace ***URL.2, se informa de tratamientos al margen de la prestación del servicio y no permite oponerse a dichos tratamientos en el momento del registro FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 De conformidad con lo establecido en los artículos 36 y 37.a),
5. f)y
6. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en lo sucesivo LOPD) , y el artículo 43.1 párrafo segundo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Dispone el artículo 44 de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas, bajo la rúbrica “Notificación Infructuosa” lo siguiente (…) Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado (…)De acuerdo con lo expuesto en el antecedente Cuarto, debe tenerse en cuenta el cumplimiento de los requisitos previstos en el citado precepto. III Dispone el artículo 5 de la LOPD señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la entidad denunciada a través de la página web recoge datos de carácter personal e informa de la siguiente finalidad (…)envío de comunicaciones comerciales, comercialización de productos y servicios, del mantenimiento de su relación contractual y de gestión con Tengo Entradas S.L. , al objeto de adecuar nuestras ofertas comerciales a sus características particulares. Los destinatarios de dichos datos serán los servicios comerciales y técnicos de Tengo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Entradas S.L. (…), y no ofrece un medio de oposición para dichos tratamientos, en el momento del registro. Por ello procede traer a colación lo dispuesto en los artículos 15 y 45 del Reglamento de desarrollo de la LOPD, aprobado por el artículo único del Real Decreto 1720/2007 ( RCL 2008, 150 ) , dispone: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento". En cuanto al artículo 45 del citado Reglamento. "Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando se encuentren en uno de los siguientes casos:
12. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información y publicidad". De la lectura de los preceptos citados y de la cláusula parcialmente transcrita ut supra, se deduce el incumplimiento de los mismos, en la medida en que no se ofrece al titular de los datos, en el momento del registro un medio de oposición para tratamientos al margen del mantenimiento de lar elación contractual, pues consta el envío de comunicaciones comerciales, y comercialización de productos. Asimismo, no se especifica tampoco sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir dicha publicidad. La leyenda mantiene términos inconcretos sobre los que no puede sostenerse un consentimiento informado con las exigencias del precepto y la jurisprudencia. – véase la Sentencia de la Audiencia Nacional de 30/11/2005 que señala que (…) En definitiva, la leyenda examinada no cumple con las exigencias que la legislación sobre protección de datos requiere para la prestación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 consentimiento, por no haberse facilitado una información expresa, precisa e inequívoca sobre las finalidades determinadas y explicitas para las que iban a tratarse dichos datos (…) La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Por todo ello se considera acreditada la infracción del art. 5 LOPD antes transcrito, suponiendo la infracción leve prevista en el art. 44.2
13. c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
14. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
15. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
16. a)y
17. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que adecue la información ofrecida en cuanto al modo y contenido, a lo dispuesto en los arts. 15 y 45 del RDLOPD, en relación con art. 5 de la LOPD V Los hechos objeto de imputación del presente expediente constituyen también la infracción a lo previsto en el art. 22.2 de la LSSI que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. VI El Anexo de la LSSI define en su apartado
18. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
19. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a al denunciado como responsable de la página web ***URL.1 y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. VII En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que al inicio de las actuaciones de inspección, el sitio web no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, lo relevante es cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. En este sentido debe recordarse que la “Guía sobre el uso de capas. De modo que la segunda capa complemente a la primera. En la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento. En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido indicando, singularmente en la Guía sobre el uso de cookies, que dicha información adicional y complementaria de la primera, debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar la cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, debe en esta segunda capa ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, el suministro de la información adicional en una segunda capa por grupos de cookies, da cumplimiento al precepto, siempre que exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en el citado cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 especificada. VIII Relacionando dichas exigencias con la información ofrecida a través de la citada página web en las pruebas realizadas sobre DARD en su página web se efectúan las siguientes consideraciones: En fecha de 26/04/2017 se verificó la existencia de una leyenda informativa al acceder a la citada página web respecto de la que no es posible deducir la finalidad de los DARD instalados, pues expresiones como (…) Al permitirnos usar cookies podrás disfrutar de nuestro sitio con todas las funcionalidades (…) no permite obtener un consentimiento informado para su aceptación por el usuario, como exige la normativa analizada. Tampoco informa sobre el titular de las cookies descargadas, el dominio, la duración, etc.. Asimismo se instalaban DARD en el navegador al acceder a la web, con independencia de realizar cualquier acción. La conducta descrita está tipificada como leve en el artículo 38.4.
20. g)de la citada norma, que señala como tal Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2. Requiriéndose al denunciado la adopción de medidas para la adecuación a la normativa citada. IX El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
21. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
22. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En el presente supuesto se cumplen los requisitos recogidos en las letras
23. a)y
24. b)del citado apartado 2 del artículo 39 bis. X En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00166/2017) a TENGO ENTRADAS S.L.., con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22.2 de la citada norma, tipificada como leve en su artículo 38.4. g). SEGUNDO.- APERCIBIR (A/00166/2017) a TENGO ENTRADAS S.L.., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
25. c)de la citada Ley Orgánica, en relación con el art. 15 y 45 del RDLOPD. TERCERO.- REQUERIR a TENGO ENTRADAS S.L.., de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto y que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, en relación con la obligación prevista en el art. 15 del RDLOPD. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 CUARTO.- NOTIFICAR la presente Resolucion a TENGO ENTRADAS S.L.. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es