A-00168-2017

1/16 Procedimiento Nº: A/00168/2017 RESOLUCIÓN: R/02669/2017 En el procedimiento A/00168/2017, instruido por la Agencia Española de Protección de Datos a la entidad SEATWAVE ESPAÑA S.L., vista la denuncia presentada por AGENCIA ESPAÑOLA DE CONSUMO, SEGURIDAD ALIMENTARIA Y NUTRICIÓN y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9/03/2017 tiene entrada en el registro general de esta Agencia, un escrito de la AGENCIA ESPAÑOLA DE CONSUMO, SEGURIDAD ALIMENTARIA Y NUTRICIÓN (AECOSAN en lo sucesivo) en el que denuncia a varias páginas web, por la vulneración de las obligaciones legales en materia de información y consentimiento relativas al uso de cookies, -dispositivos de almacenamiento y recuperación de datos (DARD en lo sucesivo)- y en relación con las políticas de privacidad y su adecuación a la LOPD. SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección de la Agencia Española de Protección de datos, se practican diligencias de investigación teniendo conocimiento de lo siguiente: Mediante diligencia de inspección de fecha de 26/04/2017 se obtiene la siguiente información respecto de la página web ***WEB.1: 1- Respecto de la identidad del Prestador del Servicio: 1.1 Consta en la pagina web: Este acuerdo (el «Acuerdo») establece los términos y condiciones de utilización de este sitio web ***WEB.1 de Seatwave España, S.L. («Seatwave» y el «Sitio Web») con domicilio social en ***DOMICILIO.1 Madrid, con CIF ***CIF.1 y debidamente inscrita en el Registro Mercantil Tomo *** C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 1.2 Información Mercantil (Registro Mercantil Central, etc.,.): SEATWAVE ESPAÑA SL, ***CIF.1 , ***DOMICILIO.2. 1.3 Actividad: Venta on-line de entradas a eventos relacionados con el ocio. 2- Respecto de los deberes de información y consentimiento relativos al uso de DARD. 2.1 Información DARD al acceder (primera capa): no consta información relativa al uso de DARD 2.2 DARD descargados al acceder: tal como consta en la Diligencia de inspección incorporada al expediente, se verifica la descarga e instalación de DARD de terceros de carácter persistente con finalidad de analítica web y publicitarias con independencia de haber aceptado. 2.3 Respecto a la existencia de la Política de Cookies (información en segunda capa), no consta enlace que expresamente este dedicado a tal fin, sino que en la Política de Privacidad alojada en el enlace ***WEB.1/info/privacypolicy se muestra la siguiente información: (…)Información sobre las cookies INFORMACIÓN SOBRE LA UTILIZACIÓN DE COOKIES Nosotros y terceras empresas usamos cookies y otras tecnologías, tales como etiquetas de píxel en nuestros sitios web y correos electrónicos. Para obtener más información acerca de las cookies y cómo desactivarlas, por favor consulte nuestra política de cookies. [Insertar marcadores para las políticas de Cookies] Nosotros recopilamos su información en diferentes maneras Directamente de usted. Por ejemplo, si usted se registra para una promoción, crea una cuenta, participa en un concurso o sorteo gratuito, descarga una aplicación, compra o vende entradas, publica un comentario en nuestros sitios web o cuando contacte con nosotros. A través del uso de nuestros sitios web y aplicaciones. Utilizamos cookies y otras tecnologías, tales como etiquetas de píxel en nuestros sitios web, en nuestros correos electrónicos y aplicaciones para recopilar información sobre su uso y para mejorar la publicidad. Para obtener más información, por favor consulte nuestra política de cookies. De terceros. Por ejemplo, si usted elige utilizar una función de los medios de comunicación social integrado en nuestros sitios web o aplicaciones, el tercer sitio de medios sociales nos dará cierta información sobre usted. Esto podría incluir su nombre y dirección de correo electrónico. Sus actividades en nuestros sitios y aplicaciones pueden ser publicadas en las plataformas de medios sociales. Más información sobre los terceros a partir de los cuales se obtiene la información está disponible aquí.(…) 3- Respecto de la recogida de datos de carácter personal y la información ofrecida en la política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 3.1 Se verifica la existencia de formularios de recogida de datos de carácter personal en los siguientes enlaces: Para registrarse como usuario consta en el siguiente enlace ***WEB.1/authentication un formulario dónde se requiere dirección de correo electrónico y contraseña, tras completar los campos se abre el siguiente enlace: ***WEB.1/myaccountinfo donde se solicita la siguiente información: Nombre, apellidos, móvil y ubicación. Se muestra la siguiente información: Porque pedimos su número de teléfono Necesitamos su número de teléfono de manera que podamos enviarle información acerca de su ordenes/ventas y proporcionarle un mejor servicio al cliente ¿Por qué ha de actualizar su ubicación? Usamos su localización para informarle sobre eventos cercanos a usted. Manténgala actualizada para no perderse de estas experiencias maravillosas. 3.2 Para finalizar el proceso de registros se pulsa el botón Actualizar datos del perfil sin que se requiera la aceptación expresa de la política de privacidad. 3.3 la Política de Privacidad, muestra, entre otra, la siguiente información: Política de privacidad La presente política de privacidad explica que información personal Seatwave (conocido en esta política como "nosotros" o "Seatwave") recoge y cómo la usa. Por favor, lea atentamente. En términos generales, Seatwave recopila información acerca de usted si crea una cuenta, si compra o vende entradas, nos envía un email o nos llama; y cuando utiliza nuestros sitios web, aplicaciones y redes sociales. Nosotros usamos esa y otra información para ofrecerle mejores servicios, marketing y apoyo a usted y otros clientes (incluyendo el análisis de su información para ofrecerle una experiencia personalizada). (…) Seatwave tiene un número de afiliados que utilizan nuestra plataforma para vender entradas ("Afiliados"). Nosotros compartiremos su información con nuestros afiliados y con terceras partes, tal como se describe aquí. Seatwave es responsable del tratamiento de su información personal de acuerdo con la Ley de Protección de Datos de 1998. (…) La información que podemos retener sobre usted Utilizamos la siguiente información para los fines descritos en esta Política: Su información de contacto y de la cuenta (…) Información de pago y facturación. (…) Información que usted publica en línea (on-line(…) Información sobre sus preferencias. (…) Información de otras empresas (…) Información de uso del sitio web. (…) Información de uso de Aplicación(s). (…) Información de respuesta de correo electrónico. En relación a los correos electrónicos que le enviamos, podríamos utilizar cookies y otras tecnologías, tales como etiquetas de píxel para recoger información sobre la forma de responder a este tipo de mensaje, por ejemplo, el número de veces que se abre el correo electrónico o que enlaces son consultados, etc. . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Nosotros estamos asociados con terceras partes que podrían utilizar también este tipo de política de cookies para más información. Otra información sobre su interacción con nosotros. Por ejemplo, si usted interactúa con nosotros, correo electrónico, teléfono o medios de comunicación social (por ejemplo, Facebook). Podemos utilizar su información de la siguiente manera y para los siguientes propósitos Para ofrecerle productos, servicios, información de la cuenta y apoyo. (…) Para enviarle comunicaciones en relación con la transacción y eventos a los que asista. (…) Para identificar tendencias e intereses. Nosotros utilizamos su información para conocer cuáles podrían ser sus preferencias; de este modo podemos mejorar nuestra oferta y en consecuencia su experiencia con nosotros sería más relevante y personal. Podríamos combinar la información que obtenemos de usted con información de terceras partes, incluyendo análisis de comportamiento del cliente. Para controlar y mejorar nuestros productos, servicios y sitios web. (…) Para prevenir o detectar comportamientos ilegales o para proteger o hacer cumplir los derechos legales. (…) Para fines de investigación de mercado. (…) Para ofrecerle publicidad personalizada y "online behavioural advertising". (…) Para fines de marketing. Si usted hubiera dado su consentimiento, podría ser contactado por nosotros por correo electrónico, mensaje de texto, teléfono u otros medios con información u ofertas sobre nuestros próximos eventos, productos o servicios (incluyendo boletines informativos). También podríamos enviarle información u ofertas en nombre de otras empresas, pero cuando lo hacemos, nosotros no facilitamos a estas empresas su nombre o dirección. En el caso de que usted haya consentido recibir información directamente de seleccionadas terceras partes, estas partes podrían ser organizaciones benéficas y empresas minoristas, por ejemplo, empresas ofreciendo productos financieros, de salud, ocio o servicios de suscripción.(…) Usted tiene diferentes opciones sobre cómo nosotros usamos su información Al crear una cuenta, comprar o vender entradas o descargar nuestras aplicaciones, podemos pedirle su consentimiento con el fin de recopilar, procesar o utilizar su información personal para propósitos específicos. Si usted desea retirar el consentimiento que nos ha proporcionado para el uso de su información personal, por favor póngase en contacto con nosotros o háganos saber sus preferencias usando los métodos descritos en esta sección. Usted entiende que si usted decide no darnos su consentimiento, o si usted retira su consentimiento, podría perder la ventaja de una o más funciones que ofrecemos. Además de ponerse en contacto con nosotros usted puede optar por negarnos su consentimiento de las siguientes maneras: Usted puede optar por no recibir comunicaciones de marketing, incluyendo boletines informativos. Para dejar de recibir comunicaciones de marketing, puede iniciar sesión en su cuenta y cambiar sus preferencias o seguir las instrucciones de cualquier mensaje promocional recibido. El proceso de la solicitud podría tardar diez días aproximadamente. No se preocupe! Incluso si opta por no recibir mensajes de marketing, nos aseguraremos de enviarle mensajes transaccionales. (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Usted puede cambiar sus preferencias de marketing con un Socio de Eventos (por ejemplo, optar por no recibir correos electrónicos de marketing de un socio de eventos) poniéndose en contacto con éste o siguiendo las instrucciones de los mensajes recibidos.(…) Podemos compartir su información con los siguientes terceros Dentro del grupo de empresas Ticketmaster. Podríamos compartir parte o toda su información con empresas de nuestro grupo para cualquiera de los fines mencionados en esta Política. Nuestros Afiliados. Podríamos compartir su información con nuestros Afiliados para que puedan ejecutar el evento para el que se han adquirido las entradas, cuando sea necesario para cumplir con el pedido, analizar el comportamiento del cliente, ofrecer mejor servicio y soporte a los clientes , y para cualquier otra finalidad descrita en las políticas de privacidad de nuestros Afiliados ( incluyendo marketing). Usted debería leer sus políticas para aprender cómo éstos tratan su información. Nuestros Socios Comerciales. Si compra entradas para un evento a través de una promoción o programa de recompensas proporcionado por otra compañía, nosotros podríamos recibir y/o compartir su información personal con esa compañía. Usted debería leer sus políticas para aprender cómo éstos tratan su información. Terceras partes seleccionadas. Si usted consintió ser contactado por correo electrónico u otro medio por terceras partes, podríamos proporcionar su información a los terceros seleccionados por nosotros, y estas terceras partes podrían utilizar esta información para fines de marketing o de publicidad. Nuestros proveedores de servicios de terceros. Nosotros podríamos compartir su información con terceras partes para que puedan prestarnos servicios (por ejemplo, correos, un mensajero, un proveedor de centro de llamadas, o una empresa de estudios de mercado o compañías de "online behavioural advertising", (…) Escrito para garantizar la protección de su información. Terceras partes que proveen bienes y servicios adquiridos por usted. Su información también podría ser compartida con terceras partes relevantes ofreciendo bienes y servicios comprados por usted a través de nuestra página web (por ejemplo, seguros o mercancías) para que sus pedidos puedan ser procesados y completados (incluyendo poniéndose en contacto con usted). Si usted compra o vende entradas a través de nuestra plataforma de reventa, podemos divulgar su información al comprador o vendedor (según corresponda) para completar el proceso del pedido. Si pensamos que nosotros debemos con el fin de cumplir con requisitos legales o reglamentarios o para protegernos a nosotros mismos, a nuestros afiliados o a terceras partes. (…) Podríamos transferir su información a otros países La transferencia de su información para su uso de acuerdo con esta Política y la Política de Cookies podría implicar la transferencia de su información a otros países (incluso fuera de Europa). Las leyes de otros países a los que la información se transfiere podría no proporcionar el mismo nivel de protección de su información personal según las leyes de su país de origen. Nosotros, a consecuencia de esto, en su lugar ponemos a su información personal protecciones técnicas y contractuales apropiadas de acuerdo con las leyes aplicables. (…) Para corregir, modificar o actualizar la información que nos ha facilitado, o si desea retirar el consentimiento que nos ha dado usted puede hacerlo accediendo a su cuenta. Qué vamos a hacer si hay una actualización de esta política De vez en cuando podemos cambiar nuestras prácticas de privacidad. Le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 notificaremos cualquier cambio de esta Política como exige la ley. También publicaremos una copia actualizada en nuestra página web. Esta contará con una fecha y número de versión diferente a la indicada a continuación. Por favor visite nuestro sitio periódicamente para comprobar si hay actualizaciones. Quienes somos Nosotros somos Seatwave Limited, parte del grupo de empresas Ticketmaster. Usted puede descubrir más sobre nosotros aquí. Última actualización: Septiembre 2015 3.4 No ofrece información sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. Informa de tratamientos al margen de la prestación del servicio y no permite oponerse a dichos tratamientos en el momento del registro. TERCERO: En fecha 13/06/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa a SEATWAVE ESPAÑA, S.L., el presente procedimiento de apercibimiento A/00168/2017 con relación a la denuncia por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI) tipificada como leve en el artículo 38.4

1. g)de dicha norma y por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
2. c)de la LOPD. CUATRO: En fecha de 20/10/2017 por SEATWAVE ESPAÑA, S.L., se presentó escrito de alegaciones en el que manifestaba, en síntesis lo siguiente: Respecto de la infracción del art. 22.2 LSSI: Se ha incluido una herramienta de gestión de cookies y aviso en primera capa, permitiendo al usuario configurar las cookies según sus preferencias. Sobre la información en segunda capa, se incluirá un enlace a la Politica de antes citada. Respecto de la infracción del art. 5 LOPD, habiendo advertido las faltas que se ponen de manifiesto en el acuerdo de audiencia previa, se ha procedido a actualizar la información, haciendo especial hincapié en lso derechos de acceso, rectificación, cancelación y oposición. En cuanto a la captación del consentimiento de usuarios, se ha incluido al final de cada formulario casillas no pre marcadas que incluyen link que redirige de forma directa a la política de privacidad, tanto en el proceso de suscripción al newsletter, como al crear una cuenta, así como en el proceso conjunto de compra de entradas y suscripción de newsletter. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 CINCO: En fecha de 20/11/2017, por el Instructor del procedimiento se accedió al sitio web seatwave.es verificándose lo siguiente: I.Se muestra una capa informativa con el siguiente texto: (…) Ticketmaster y terceras organizaciones utilizan cookies y tecnologías similares para ofrecer servicios, mostrar anuncios y ofertas adaptadas a tus intereses y para asegurar transacciones en nuestro sitio. Al hacer clic en Aceptar y Continuar o continuar con la navegación de nuestro sitio, aceptas nuestro uso de cookies para estos fines. Para obtener más información y para administrar la configuración de II.Se descargan DARD no exentas de obtener el consentimiento informado al acceder a la página, con independencia de haber aceptado las mismas, entre otras se descargan DARD de carácter publicitario, de analítica web y de compartición de contenidos en redes sociales. III.Se verifica la existencia de una herramienta de gestión de DARD que no impide que se descarguen DARD de terceros con finalidades publicitarias y de análisis web, cuando se aplica la configuración que permite únicamente los DARD obligatorios, técnicos que permiten el funcionamiento de la web. IV.Se verifica la existencia de un enlace a la Politica de Cookies y otro a la Politica de Privacidad donde se informa del ejercicio de los derechos ARCO, identificando al responsable del fichero frente al que ejercerlos. V.En la política de privacidad (que es obligatorio aceptar en el momento de crear una cuenta de usuario o en el proceso de compra de una entrada) se informa de finalidades en el tratamiento de los datos, entre otros, como publicitarias sin que se permita oponerse a las mismas. SEIS.- De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 26/04/2017 se accedió al sitio web ***WEB.1 y se verifico que no constaba información relativa al uso de DARD y que se utilizaban DARD de terceros de carácter persistente con finalidad de analítica web y publicitarias sin la posibilidad de otorga el consentimiento a tal fin. DOS.- En ese acceso, se verifico que no constaba enlace que expresamente este dedicado a tal fin, sino que en la Política de Privacidad alojada en el enlace ***WEB.1 se muestra determinada información respecto del uso de DARD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 TRES.- En ese acceso, se verifico respecto de la recogida de datos personales, que para registrarse como usuario en el enlace ***WEB.1/authentication se muestra un formulario dónde se requiere dirección de correo electrónico y contraseña, tras completar los campos se abre el siguiente enlace: ***WEB.1/myaccountinfo donde se solicita la siguiente información: Nombre, apellidos, móvil y ubicación. Para finalizar el proceso de registros se pulsa el botón Actualizar datos del perfil sin que se requiera la aceptación expresa de la política de privacidad. CUATRO.- En la política de privacidad se verificó que no constaba información sobre el responsable del fichero frente al que ejercer los derechos ARCO, ni información precisa sobre dichos derechos, y se informaba de finalidades en el tratamiento al margen de la prestación del servicio sin permitir oponerse a los mismos en el momento del registro. CINCO.- En fecha de 20/11/2017 se accedió al sitio web y se verifico la existencia de un aviso de información sobre el uso de DARD y la descarga de DARD no exentos de obtener el consentimiento, con independencia de realizar acción alguna. SEIS.- En ese acceso se verificó que en la política de privacidad, que es obligatorio aceptar para crear una cuenta o comprar una entrada, se informaba de la posibilidad del ejercicio de los derechos ARCO y de la identidad del responsable. SIETE.- En ese acceso se verificó que la política de privacidad informa sobre finalidades del tratamiento al margen de la prestación del servicio (Para ofrecerte publicidad personalizada y "online behavioural advertising", o Para remitirte comunicaciones comerciales o publicitarias de terceros) sin permitir oponerse a los mismos en el momento del registro. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),
3. f)y
4. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en lo sucesivo LOPD) , y el artículo 43.1 párrafo segundo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Dispone el artículo 5 de la LOPD señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16
5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado en el acceso realizado en fecha de 26/04/2017 que la entidad denunciada a través de la página web recoge datos de carácter personal y no se informa de la identidad y domicilio del responsable del fichero ni de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición. Asimismo informaba de tratamientos al margen de la prestación del servicio sin ofrecer la posibilidad de oponerse a los mismos, incumpliendo asi lo dispuesto en el art. 15 del RDLOPD que bajo la rúbrica “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” señala lo siguiente: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el acceso realizado a la página web en fecha de 20/11/2017, si bien se ha introducido información relativa al ejercicio de los derechos ARCO, con identificación del responsable del tratamiento o fichero, se mantiene la vulneración del art. 15 RDLOPD, pues la política de privacidad informa de tratamientos al margen del servicio contratado y es obligatorio aceptarla “en bloque”, por lo que no es posible la oposición a determinados tratamientos. En cuanto al tratamiento de los datos para finalidades publicitarias que anuncia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 en la política de privacidad, es preciso acudir al art. 45 del RDLOPD, que bajo la rúbrica “Datos susceptibles de tratamiento e información al interesado” en el capítulo dedicado a Tratamientos para actividades de publicidad y prospección comercial, dispone lo siguiente: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
10. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. Por lo que la entidad debe determinar con la claridad que exige el precepto los posibles cesionarios de la información personal de los usuarios, para poder realizar tratamientos con finalidades publicitarias como señala en su política de privacidad. En definitiva, la obligación que impone el artículo 5 de la LOPD (con carácter general, y en relación con los arts. 15 y 45 del RDLOPD) es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Por todo ello se considera acreditada la infracción del art. 5 LOPD antes transcrito, suponiendo la infracción leve prevista en el art. 44.2
11. c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16
13. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
14. a)y
15. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que adecue la información a lo dispuesto en el art. 5 de la LOPD, en relación con el art. 15 de la LOPD. IV Asimismo se atribuye a SEATWAVE ESPAÑA, S.L. la comisión de una infracción del artículo 22.2 de la LSSI que dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. V El Anexo de la LSSI define en su apartado
16. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
17. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a SEATWAVE ESPAÑA, S.L., como responsable de la página web ***WEB.1 y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. VI En el presente caso, ha resultado probado que la entidad denunciada a través de la página web instala DARD, entre otros, de terceros de carácter persistente con finalidad de analítica web, publicitarias y de compartición de contenidos en redes sociales. Es decir, DARD no exentos del deber de obtener el consentimiento del usuario con carácter previo a su instalación, en definitiva el sitio web en la prueba realizada en fecha de 26/04/2017 no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI y así poder obtener un consentimiento informado. Asimismo, tampoco se verifico la existencia de un procedimiento de obtención del consentimiento previo e informado en la prueba realizada en fecha de 20/11/2017, pues se descargaban DARD no exentos al acceder a la página web, con independencia de haber aceptado su uso. Asimismo tampoco se puede deducir de la leyenda informativa en primera capa, las finalidades de los DARD que verdaderamente se descargan. La conducta descrita está tipificada como leve en el artículo 38.4.
18. g)de la citada norma, que señala como tal Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2. Requiriéndose al denunciado la adopción de medidas para la adecuación a la normativa citada. VII El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
19. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
20. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
21. a)y
22. b)del citado apartado 2 del artículo 39 bis. VIII En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00168/2017) a SEATWAVE ESPAÑA, S.L., con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22.2 de la citada norma, tipificado como leve en su artículo 38.4. g). SEGUNDO.- APERCIBIR (A/00168/2017) a SEATWAVE ESPAÑA, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
23. c)de la citada Ley Orgánica. TERCERO.- REQUERIR a SEATWAVE ESPAÑA, S.L, de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto y que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, en relación con lo previsto en los artículos 15 y 45 del RDLOPD. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. CUARTO.NOTIFICAR la presente Resolución a SEATWAVE ESPAÑA, S.L AGENCIA ESPAÑOLA DE CONSUMO, SEGURIDAD ALIMENTARIA Y NUTRICIÓN. y De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es