A-00187-2016

1/22 Procedimiento Nº: A/00187/2016 RESOLUCIÓN: R/02601/2016 En el procedimiento A/00187/2016, instruido por la Agencia Española de Protección de Datos a Don D.D.D., vista la denuncia presentada por SPY EUROPE MIJOF, S.L. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de septiembre de 2015 tiene entrada en esta Agencia Española de Protección de Datos, (en adelante, AEPD), un escrito de Don C.C.C., en nombre y representación de SPY EUROPE MIJOF S.L., en el que manifiesta que: 1. Al entrar en el sitio web www.espia2.com para efectuar un pedido SPY EUROPE MIJOF S.L., en adelante SEMSL o el denunciante, observó que no aparecía ninguna política de privacidad ni política de cookies en la página principal, existiendo también un formulario de contacto en http://espia2.com/contactar sin informarse sobre la existencia de un fichero o sobre su inscripción en la AEPD, tampoco, sobre de los derechos de acceso, rectificación, cancelación y oposición (en lo sucesivo, derechos ARCO) que asistían al titular de los datos. 2. El denunciante entiende que el aviso legal resulta defectuoso y carente de información con arreglo a lo dispuesto en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información (en lo sucesivo LSSI), tratándose de una cuestión que no recae bajo el ámbito competencial de la AEPD. 3. Asimismo, tras entrar en el sitio web http://latiendadeldetectiveydelespia.com se reproduce la misma situación al intentar contactar, existiendo un enlace a una política de privacidad carente de contenido. Junto con el escrito de denuncia se aportan impresiones de pantalla de:

1. a)Un formulario de contacto ubicado en http://espia2.com/contactar
2. b)Un formulario de recogida http://espi2.com/finalizar-comprar de datos de un
3. c)Un formulario de contacto http://latiendadeldetectiveydelespia.com/contactanos pedido ubicado ubicado en en
4. d)Página de aviso legal del sitio web http://latiendadeldetectiveydelespia.com SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, las cuales se han limitado a los hechos expuestos en los puntos 1 y 3 del anterior antecedente de Hecho por ser los que recaen bajo la órbita competencial de la AEPD, se ha tenido conocimiento de los siguientes hechos: En cuanto al sitio web ubicado en http://espia2.com 1. El dominio espia2.com está registrado a nombre de Don C/ Jorge Juan, 6 28001 – Madrid F.F.F., en adelante el www.agpd.es sedeagpd.gob.es 2/22 denunciado o JGJ. 2. Cada página visitada del sitio web dispone de un formulario mediante el cual el visitante puede contactar con el responsable del sitio web proporcionando su nombre, dirección de correo electrónico y contenido del mensaje. 3. Además, el visitante puede registrarse para hacer pedidos en la tienda web. Para ello dispone de varios formularios en los que deberá proporcionar nombre, apellidos, dirección postal, dirección de correo electrónico y número de teléfono. 4. El 4 de diciembre se comprueba que el sitio web dispone de una página aviso legal (http://espia2.com/aviso-legal) en la que informa sobre distintos aspectos jurídicos de la relación con los visitantes o clientes del sitio, pero en ninguno de los apartados del aviso legal figura la información que contempla el artículo 5 de la LOPD. El aviso legal se refiere al responsable del sitio web en todo momento como “Espia2”. En la sección “Exclusión de garantías y responsabilidad” de la página proporciona la siguiente información: “ Espia2, con domicilio social en A.A.A., Málaga con el C.I.F H.H.H.. Para contactar con Espiados (Espia2) puede utilizar la dirección de correos postal arriba indicada, así como la dirección de correo electrónica E.E.E..”. Dicho NIF coincide con el del denunciado. 5. Se realizan tres pruebas de acceso al sitio web en los días 4 de diciembre de 2015, 4 de enero y 10 de febrero de 2016. Durante las pruebas se constata que:  Al acceder al sitio web en la esquina superior derecha se muestra un mensaje que bajo el título “Aprobar las cookies” tiene el texto “Este sitio web utiliza enlace en el texto “leer más” que lleva a la página de aviso legal.  En la página de aviso legal no figura ninguna información sobre el uso de dispositivos de almacenamiento y recuperación de datos en equipos terminales, en adelante DARD. 6. El 4 de diciembre de 2015 y el 10 de febrero de 2016 se accede al sitio web utilizando los navegadores Mozilla Firefox y Google Chrome, comprobándose que en todos los accesos se descargan los siguientes DARD: Dominio Nombre Primera Tercera parte Sesión Persistente espia2.com _ga Tercera espia2.com _gat Tercera Persistente Persistente espia2.com Primera Persistente espia2.com nf_wp_session Primera Persistente espia2.com unpoco_100758777 Primera Persistente app.cookieassistant.com request_method Tercera Sesión 7. En cuanto a los finalidades de los DARD descargados: 7.1. Los DARD denominados _ga y _gat son utilizados por el servicio de analítica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 web Google Analytics prestado por Google Inc. 7.2. El DARD denominado cookie_assistant_enable_cookies se descarga al pulsar el botón de aceptar las cookies y su función es recordar dicha aceptación. 7.3. El DARD denominado request_method únicamente almacena el método HTML utilizado para solicitar la página web cargada por lo que su funcionalidad es técnica. El dominio cookieassistant.com al que está vinculado el DARD está asociado a un software (http://cookieassistant.com) que permite crear y configurar avisos y controles para el uso de DARD en sitios web. En cuanto al sitio web ubicado en http://latiendadeldetectiveydelespia.com 8. El dominio latiendadeldetectiveydelespia.com está registrado a nombre de G.G.G.. En respuesta a la solicitud de información remitida desde la Subdirección General de Inspección de Datos de esa Agencia, JGJ se identifica como responsable del sitio web alojado en el dominio. 9. Los días 4 de diciembre de 2015 y 4 de enero de 2016 se accede al sitio web y se constata que:  La página principal del sitio web dispone al pie de la misma un conjunto de enlaces entre los que se encuentra el denominado “aviso legal”, el cual apunta a la misma página principal.  Del resto de los enlaces del pie de página únicamente dos apuntan a páginas distintas de la principal, el enlace “Sobre nosotros”, que lleva a una página con un texto aparentemente en latín, y el enlace de contacto que lleva a un formulario de contacto.  El formulario de contacto contiene un enlace a una “Política de privacidad”, pero el enlace lleva a la página “Sobre nosotros“ previamente citada. El formulario recoge el destinatario (atención al cliente o webmaster), el mensaje, una dirección de correo electrónico, una referencia al pedido y un archivo.  El sitio web muestra un mensaje relativo al uso de DARD con la siguiente información: “Utilizamos cookies propias y de terceros para mejorar la experiencia de navegación, y ofrecer contenidos y publicidad de interés. Al continuar con la navegación entendemos que se acepta nuestra Política de El texto “Política de cookies” es un enlace que lleva a la página “Sobre nosotros”.  Para poder comprar es necesario registrarse en el sitio web. A tal fin se utiliza un formulario1 en el que se recaba nombre, apellido, correo electrónico, contraseña y fecha de nacimiento, localizado en la página http://latiendadeldetectiveydelespia.com/inicio-sesion?back=my-count#accountcreation. Posteriormente, dentro del apartado mi cuenta, localizado en la página web http://latiendadeldetectiveydelespia.com/direccion se requiere un domicilio 1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 postal, un NIF, un teléfono móvil y de manera opcional una empresa.  Se localiza una página de Nota legal conteniendo un texto que informa de que el sitio web fue creado mediante el software “Prestashop Shopping Cart”, sin identificar al responsable del sitio web o del fichero en el que serán incluidos los datos de carácter personal de los usuarios recabados a través de los formularios del portal. 10. El día 10 de febrero de 2016, tras haber recibido JGJ la solicitud de información de la AEPD, se accede al sitio web y se constata que: 10.1.El enlace a la página “Sobre nosotros” redirige a una página titulada “Quienes somos” que contiene una dirección postal y números de teléfono de contacto. 10.2.El enlace de “Política de privacidad” del aviso sobre el uso de DARD apunta en esta visita a la página “Quienes somos”, que no contiene información sobre el uso y finalidades de los DARD. 10.3.El enlace del “Aviso legal” ya no apunta a la página “Sobre nosotros”, sino a una página propia en la que al igual que en el sitio web anterior se refiere al responsable del sitio web en todo momento como “La Tienda Del Detective Y Del Espía”. La página proporciona un domicilio social y un CIF que coincide con el de JGJ. 10.4.El enlace a la “política de privacidad” que se muestra en el formulario de contacto devuelve un error al tratar de seguirlo. 10.5.En ninguna de las páginas del sitio web se localiza la información exigida por en el artículo 5 de la LOPD y el artículo 22.2 de la LSSI. 11. El 4 de diciembre de 2015 y el 10 de febrero de 2016 se accede al sitio web utilizando los navegadores Mozilla Firefox y Google Chrome, comprobándose que en ambos casos se descargan los mismos DARD, que se listan a continuación: Dominio Nombre Primera Tercera parte Sesión Persistente latiendadeldetectiveydelespia.com PrestaShop5bef405ef75917f6f ad36aa2a0e195f6 Primera Persistente latiendadeldetectiveydelespia.com _first_pageview Tercera Persistente latiendadeldetectiveydelespia.com _jsuid Tercera Persistente latiendadeldetectiveydelespia.com no_trackyy_100877 731 Tercera Persistente latiendadeldetectiveydelespia.com _eventqeue Tercera Persistente in.getclicky.com cluid Tercera Sesión Además de los DARD señalados se descargó, vinculado al dominio latiendadeldetectiveydelespia.com, un dispositivo de almacenamiento local basado en HTML 5. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 12. En cuanto a los finalidades de los DARD descargados: 12.1.Al aceptarse el uso de DARD se descarga una cookie denominada cookie_ue cuya finalidad es recordar la aceptación de dicho uso. 12.2. A excepción del primer DARD de la tabla, asociado los restantes dispositivos están vinculadas al servicio de analítica web denominado Clicky (https://clicky.com/terms ), prestado por Roxr Sfotware Ltd. 13. En el sitio web www.rmc.es del Registro Mercantil Central el NIF H.H.H. aparece asociado a Don D.D.D. en su condición de Administrador Único de una sociedad. TERCERO: Con fecha 3 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00187/2016. Dicho acuerdo fue notificado al denunciado con fecha 27 de mayo de 2016. El intento de entrega del citado acuerdo dirigido a la entidad denunciante fue devuelto por “Desconocido” con fecha 9 de mayo de 2016 en el domicilio señalado en la denuncia, según consta en la “Certificación de imposibilidad de entrega” emitida por la Sociedad Estatal Correos y Telégrafos, S.A. De conformidad con lo dispuesto en los artículos 59.5, 60.2 y 61 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y de Procedimiento Administrativo Común, con fecha 20 de mayo de 2016 se publicó en el Boletín Oficial del Estado nº 122 anuncio de notificación del mencionado Acuerdo de Inicio para que sirviera de notificación a SPY EUROPE MIJOF, S.L. ante la imposibilidad de notificación en el citado domicilio. No consta que dicha empresa haya comparecido en el Servicio de Atención al Ciudadano de la sede de la AEPD o contactado a través de https:// B.B.B. en el plazo máximo de 7 días a contar desde el día siguiente al de la publicación de los referidos anuncios. CUARTO: Notificado el trámite de audiencia, se registra de entrada en esta Agencia escrito del denunciado poniendo de manifiesto que habían llevado a cabo las subsanaciones necesarias para adecuar los textos legales contenidos en los sitios web de su propiedad www.espia2.com y www.latiendadeldetectiveydelespia.com a los requisitos del artículo 5 de la LOOPD. QUINTO: Con fecha 26 de octubre de 2016, utilizando un navegador Google Chrome, se accede a los sitios web www.latiendadeldetectiveydelespia.com y www.espia2.com a fin de comprobar la adecuación de las medidas correctoras que el denunciado ha alegado haber adoptado. Como resultado de dichas visitas, se incorpora al procedimiento impresión del resultado obtenido al visitar cada una de dichas páginas web respecto de los DARD descargados, contenido de los formularios que recaban datos de carácter personal localizados en cada portal y documentos legales del sitio que contienen la información ofrecida sobre “Política de Privacidad” y “Cookies”, constando el detalle de la información recabada en los Hechos Probados Sexto al Noveno de esta resolución, los cuales se dan por reproducidos a efectos de evitar su reiteración. También se incorpora el documento “Tipos de cookies que utiliza Google” obtenido, también con esa misma fecha, del sitio web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 https://www.google.es/intl/es/policies/technologies/types/ HECHOS PROBADOS PRIMERO: Con fecha de 23 de septiembre de 2015 se registra de entrada en la AEPD denuncia de la representación de SPY EUROPE MIJOF, S.L., en adelante el denunciante, poniendo de manifiesto que en la página principal de los sitios web www.espia2.com y www.latiendadeldetectiveydelespia.com no aparecía ninguna información sobre el uso de DARD. También se señala que el primer portal de los citados no cuenta con un documento de “”Política de Privacidad” a pesar de haber un formulario en el que se recogen datos de carácter personal, mientras que en el segundo portal, en el que también hay otro formulario de contacto, dicho documento carece de contenido. SEGUNDO: Como resultado de los accesos realizados con fechas 4 de diciembre de 2015 y 4 de enero de 2016 se constata que el sitio web www.espia2.com dispone de los siguientes formularios en los que se recaban los siguientes datos de carácter personal: - Formulario de “Contacto” en el que se recaba el nombre y el email de los usuarios, amén de tener que cumplimentarse el mensaje de contacto. - Formulario de pedidos habilitado en la Tienda web, en el que se recaban el nombre, apellidos, dirección y código postal, localidad, provincia, dirección de email y teléfono. Ninguno de estos formularios incluía cláusula informativa conteniendo las advertencias a las que se refiere el artículo 5.1 de la LOPD ni enlace dirigiendo al usuario a un documento legal o de privacidad que mostrase tal información. TERCERO: Con fechas 4 de diciembre de 2015 y el 10 de febrero de 2016 se accede al sitio web www.espia2.com verificándose la descarga e instalación de los DARD persistentes de tercera parte denominados _ga y _gat, no exentos del deber de información previa y utilizados por el servicio Google Analytics proporcionado por Google Inc. para analizar la navegación de los visitantes del sitio web. Fruto de dichas visitas, se constata que al acceder a dicho portal en la parte superior derecha aparece una banda informativa con el siguiente texto: “Aprobar las incluye un botón de aceptar y un enlace en el texto “leer más” que lleva a la página de aviso legal, donde no aparece ninguna información sobre el uso de DARD en equipos terminales. CUARTO: Como resultado de los accesos realizados con fechas 4 de enero y 10 de febrero de 2016 se constata que el sitio www.latiendadeldetectiveydelespia.com disponía de los siguientes formularios en los que se recaban los siguientes datos de carácter personal: . - Formulario de “Contacto” en el que se recaba el dato personal del correo electrónico del usuario, amén de cumplimentarse el asunto, referencia de pedido, archivo a seleccionar y mensaje objeto del contacto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 Al pie del mismo se incluye una casilla sin marcar con el siguiente texto “He leído y Acepto Política de privacidad.” Y un botón de Enviar. El subrayado es un enlace que no dirigía al documento apuntado, llevando con fecha 4 de enero de 2016 a la página “Sobre nosotros”, que estaba en un idioma distinto del español, y devolviendo con fecha 10 de febrero 2016 error al seguirlo. - Formulario de registro para crear una cuenta en la Tienda web, en el que se recaban el nombre, apellido, correo electrónico, contraseña y fecha de nacimiento. Formulario que dentro del apartado mi cuenta de la Tienda web recaba apellido, dirección y dirección 2 , zip/código postal, ciudad, provincia, país, teléfono de domicilio, teléfono móvil y número de identificación (DNI/NIF/NIE). Ninguno de los formularios reseñados ofrecía la información advertida en los apartados 1 y 2 del artículo 5 de la LOPD, como tampoco la página propia del “Aviso Legal” localizado el 10 de febrero de 2016, documento en el que aparece una dirección postal y dos números de teléfono como datos de contacto con el responsable del sitio web, identificado como “La Tienda Del Detective y del espía” QUINTO: Con fechas 4 de diciembre de 2015 y el 10 de febrero de 2016 se accede al sitio web sitio www.latiendadeldetectiveydelespia.com verificándose la descarga e instalación de los DARD denominados _first_pageview , _jsuid, no_trackyy_100877731_eventqeue persistentes de tercera parte no exentos del deber de información previa, los cuales están vinculados al servicio de analítica web denominado Clicky prestado por Roxr Sfotware Ltd. Al acceder al portal se comprueba que en la parte inferior de las diferentes páginas del mismo hay una banda informativa con la siguiente información: “Utilizamos contenidos y publicidad de interés. Al continuar con la navegación entendemos que se acepta nuestra Política de cookies.”, junto al que hay un botón de aceptar. El texto “Política de cookies” es un enlace que en la visita del 4 de diciembre de 2015 llevaba a la página “Sobre nosotros” en otro idioma y que en la visita del 10 de febrero de 2016 apuntaba a a la página “Quienes somos”, no apareciendo en ninguna de ellas información sobre el uso y finalidades de los DARD . SEXTO: Como resultado del acceso realizado con fecha 26 de octubre de 2016 se constata que el sitio web www.espia2.com dispone de un formulario de “contacto” en el que se recaban los siguientes datos de carácter personal: nombre y email de los usuarios, amén de tener que cumplimentarse el mensaje de contacto. Al pie del formulario, que no contiene ninguna cláusula informativa de privacidad, aparece un botón de Enviar. En esta visita se constata que a través de los enlaces “Aviso Legal” y “Política de Privacidad” situados al final de cada una de las páginas del sitio web se puede acceder a la siguiente información: identificación de JGJ como titular del fichero automatizado en el que se incorporan los datos recabados a los usuarios que cumplimentan el formulario y como responsable del tratamiento efectuado con los mismos para “realizar el mantenimiento y gestión de la relación con el Usuario, así como las labores de información”, que la facilitación de los datos solicitados, que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 serán cedidos a terceros, es obligatoria a los efectos de acceder y disfrutar de determinados servicios y posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, para lo que se facilita la dirección postal del mencionado responsable del tratamiento. En dicha información no se reseña que los datos se usarán para la remisión de información y ofertas publicitarias. SÉPTIMO: Con fecha 26 de octubre de 2016 se accede al sitio web www.espia2.com verificándose la descarga e instalación de los siguientes DARD persistentes de tercera parte no exentos del deber de informar previamente a su instalación: - Los DARD denominados _ga y _gat, utilizados por el servicio Google Analytics proporcionado por Google Inc. para analizar la navegación de los visitantes del sitio web. - El DARD denominado NID de los dominios google.com y google.es con finalidades publicitarias y de preferencias También se comprueba quela banda informativa de primera capa sobre el uso de DARD se señala: “En cumplimiento con Ley 34/2002, de servicios de la sociedad de la información te recordamos que al navegar por este sitio estás aceptando el uso de El citado enlace conduce a la segunda capa informativa, constituida por la página que contiene el “Aviso Legal y Política de Privacidad” con un apartado relativo a “Cookies”, en el que se define la naturaleza de dichos ficheros, se manifiesta que sirven para facilitar la navegación del usuario por el portal, pudiéndose por el usuario configurar el navegador para impedir su instalación. Se indica que en el sitio web en cuestión dichos ficheros se usan “para realizar el seguimiento de su solicitud, ponemos en contacto con usted si es necesario y llevar a cabo un seguimiento estadístico.”, utilizándose para ello la herramienta Google Analytics de Google Inc, a cuya política de privacidad se remiten. OCTAVO: Como resultado del acceso realizado con fecha 26 de octubre de 2016 se constata que el sitio web www.latiendadeldetectiveydelespia.com dispone de un formulario de “Contacto” en el que se recaba el dato personal del correo electrónico del usuario, amén de cumplimentarse el asunto, referencia de pedido, archivo a seleccionar y mensaje objeto del contacto. Al pie del mismo se incluye una casilla sin marcar con el siguiente texto “He leído y Acepto Política de privacidad.” Y un botón de Enviar. El subrayado es un enlace que dirige al documento apuntado, en el que se ofrece la misma información a los usuarios que la reseñada en el Hecho Probado Sexto. NOVENO: Con fecha 26 de octubre de 2016 se accede al sitio web www.latiendadeldetectiveydelespia.com verificándose la descarga e instalación de los siguientes DARD persistentes de tercera parte no exentos del deber de informar previamente a su instalación: - Los DARD denominados _ga y _gat, utilizados por el servicio Google Analytics proporcionado por Google Inc. para analizar la navegación de los visitantes del sitio web. El DARD denominado NID de los dominios google.com y google.es con finalidades publicitarias y de preferencias Se mantiene el mismo aviso informativo de la primera capa de información sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 el uso de DARD que el descrito en el Hecho Probado Quinto, comprobándose que al pinchar el enlace de “Política de Cookies” se accede a la segunda capa de información, constituida por el apartado de “Cookies” del documento de “Aviso Legal y Política de Privacidad” en el que se ofrece el mismo contenido informativo que el reseñado en el Hecho Probado Séptimo, pero referido a la página web www.latiendadeldetectiveydelespia.com. DÉCIMO: Con fecha 26 de octubre de 2016 se constata que en el “Aviso Legal” de los portales www.espia2.com y www.latiendadeldetectiveydelespia.com Don F.F.F. figura como responsable de los mismos. UNDÉCIMO: Con fecha 26 de octubre de 2016 se constata que no hay un enlace permanente y visible que permita acceder a los usuarios a la información de “Política de Cookies” de las citadas páginas web titularidad del denunciado en forma fácil y directa, una vez aceptada su instalación. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.1.a),
5. f)y
6. n)de la LOPD y 43.1, párrafo segundo de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a a Directora de la Agencia Española de Protección de Datos. II En el presente procedimiento se imputa a JGJ, en su condición de responsable de los sitios web www.espia2.com y www.latiendadeldetectiveydelespia.com, una infracción del artículo 5 de la LOPD, cuyos apartados 1 y 2 establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
12. c)y
13. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo anteriormente señalado el denunciado debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de los formularios obrantes en las páginas web de su titularidad citadas la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacerlo previamente a su solicitud. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. Es decir, la exigencia de la información requerida en el artículo 5.1 y 2 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. III En el presente caso, a través de los accesos efectuados a ambos portales durante la fase previa de investigación, en concreto con fechas 4 de diciembre de 2015 y 10 de febrero de 2016, se constató que a través de los formularios de recogida de datos señalados en los Hechos Probado Segundo y Cuarto el responsable de las páginas web citadas recogía datos de carácter personal, tales como nombre, apellidos, dirección postal, dirección de correo electrónico y teléfono sin ofrecer a los interesados la información prevista en el apartado 1 del artículo 5 de la LOPD en la forma indicada en el apartado 2 del mismo. Durante dichas actuaciones previas se comprobó que dichos formularios no incluían cláusula de privacidad informando sobre los extremos indicados en el reseñado precepto ni, tampoco, ofrecían un enlace operativo que permitiese acceder a los usuarios a dicha información en forma previa, expresa e inequívoca a la recogida de los datos personales solicitados. De este modo no se les comunicaba la existencia de un fichero al que se incorporaban los datos de carácter personal solicitados, la finalidad de la recogida de los datos, los destinatarios de esa información, identidad y dirección del responsable del tratamiento o de su representante, ni se les indicaba la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (en adelante, derechos ARCO). Asimismo, a raíz de las verificaciones realizadas con fecha 26 de octubre de 2016 para comprobar si el denunciado había adecuado los textos legales de los portales de su propiedad a la normativa de protección de datos, tal y como éste había indicado en sus alegaciones al acuerdo de audiencia previa al Apercibimiento, se constata: - C/ Jorge Juan, 6 28001 – Madrid Primero, que al pie del formulario de “Contacto” alojado en el sitio web www.latiendadeldetectiveydelespia.com hay un enlace, claramente legible, que lleva al usuario a la página que contiene la “Política de Privacidad” del portal, donde se recoge la información requerida en el artículo 5 de la LOP conforme consta en el Hecho Probado Octavo. Esta información resulta accesible antes de marcar la casilla de lectura y aceptación de dicha “Política de Privacidad” insertada al pie del mencionado formulario. De lo que se colige que con fecha 26 de octubre de 2016 los usuarios ya eran informados por el responsable del sitio web www.latiendadeldetectiveydelespia.com de las advertencias detalladas en el apartado 1 del artículo 5 de la LOPD en la forma señalada en el apartado 2 del citado precepto. www.agpd.es sedeagpd.gob.es 12/22 - Segundo, no obstante que el denunciado ha incluido en la página de “Política de Privacidad” del sitio web www.espia2.com la información especificada en el reseñado artículo 5.1 de la LOPD, conforme figura en el Hecho Probado Sexto, sin embargo el formulario de “Contacto” de dicho sitio web, en el que el denunciado solicita el nombre y email de los usuarios, no incluye, en el mismo, una cláusula de privacidad claramente legible participando a los usuarios de tales aspectos, ni tampoco ofrece un enlace que al pincharlo remita a la “Política de Privacidad” del portal en la que se reseña dicha información. Por lo cual ha quedado acreditado que el denunciado recogía datos personales de los usuarios a través de los formularios incluidos en las dos páginas web de su propiedad sin facilitar, previamente, a sus titulares la información que era preceptiva en materia de protección de datos personales, incumpliendo el deber de información previsto en los apartados 1 y 2 del artículo 5 de la LOPD, ello sin perjuicio de que con fecha 26 de diciembre de 2016 se haya constatado que esta situación irregular ha sido subsanada en lo que respecta al portal www.latiendadeldetectiveydelespia.com . En consecuencia, Don D.D.D. ha incurrido en la infracción leve descrita en el artículo 44.2.
14. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. IV El apartado 6 del artículo 45 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
15. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
16. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, los apartados 4 y 5 del artículo 45 de la LOPD establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
17. a)El carácter continuado de la infracción.
18. b)El volumen de los tratamientos efectuados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22
19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
20. d)El volumen de negocio o actividad del infractor.
21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
22. f)El grado de intencionalidad.
23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto, en el que se acordó someter al denunciado a trámite de audiencia previa al apercibimiento en relación con la denuncia por infracción del artículo 5.1 y 2 de la LOPD, se cumplen los requisitos recogidos en los apartados
32. a)y
33. b)del citado apartado 6 del artículo 45 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del denunciado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD. Concretamente, operan los apartados
34. e)y
35. h)ante la falta de constancia de obtención de beneficios por el infractor o de perjuicios causados al denunciante o a terceras personas como consecuencia de la comisión de la infracción. Asimismo, concurre el apartado
36. j)del artículo 45.4 al tenerse en cuenta que el denunciado al recibir el acuerdo de trámite de audiencia previo al apercibimiento respondió, rápida y diligentemente, tomando medidas tendentes a garantizar el derecho a información en la recogida de datos de carácter personal solicitados vía formulario web. Todo ello, no obstante que, conforme se ha razonado, en el caso del sitio web www.espia2.com las medidas adoptadas fueron insuficientes para dar correcto cumplimiento al deber de información en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 forma descrita en el apartado 2 del artículo 5 de dicha norma. Por lo que habiéndose acreditado la comisión de procedería el apercibimiento al denunciado. la reseñada infracción V Asimismo, se imputa al denunciado en el presente procedimiento la vulneración del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), que dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo los DARD o cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. La Exposición de Motivos del Real Decreto Ley 13/2012, de 30 de marzo, que introduce modificaciones en el artículo 22.2 de la LSSI señala que (…), se modifican varios artículos de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, a fin de adecuar su régimen a la nueva redacción dada, por la Directiva 2009/136/CE, a la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, debiéndose destacar la nueva redacción que se da a su artículo 22.2, para exigir el consentimiento del usuario sobre los archivos o programas informáticos (como las llamadas «cookies») que almacenan información en el equipo de usuario y permiten que se acceda a ésta; dispositivos que pueden facilitar la navegación por la red pero con cuyo uso pueden desvelarse aspectos de la esfera privada de los usuarios, por lo que es importante que los usuarios estén adecuadamente informados y dispongan de mecanismos que les permitan preservar su privacidad”. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. La conculcación de dicho precepto está tipificada como infracción leve en el artículo 38.4.
37. g)de la LSSI, que establece como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
38. c)de la LSSI. VI El artículo 22.2 de la LSSI utiliza conceptos legales que cuentan con una definición establecida en la propia norma que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del mismo hablan del destinatario, que según el apartado
39. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
40. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
41. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Con arreglo a las definiciones legales anteriores, el denunciado ostenta la condición de Prestador de Servicios de la Sociedad de la Información en atención a su condición de responsable de los dos sitios web que utilizan DARD de analítica web, publicitarios y de preferencias cuya instalación ha sido constatada a lo largo del procedimiento, estando, por tanto, sujeto al régimen sancionador previsto en la LSSI en caso de incumplimiento de las obligaciones previstas en el artículo 22.2 de la LSS para dicha figura. De acuerdo con la redacción del citado artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente VII Conviene señalar que el modo de ofrecer la información relativa al artículo 22.2 de la LSSI no obedece a supuestos tasados, por lo que cualquier fórmula que satisfaga la finalidad del citado precepto es perfectamente válida. Para ello resulta esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Es decir, no resulta necesario que dicha información se establezca a través de una relación exhaustiva de DARD/cookies, pudiendo proporcionarse por grupos de cookies homogéneos, siempre que recoja, en orden a asegurar la obtención de un consentimiento informado de los usuarios antes de la instalación de tales dispositivos, si son de primera o de tercera parte, finalidades perseguidas por el editor o por los terceros que gestionan la instalación y el tratamiento dado a la información obtenida a través de los distintos tipos de DARD utilizados, cuya identificación deberá facilitarse, aludan a los mecanismos de rechazo o bloqueo de las cookies y a la forma de revocación del consentimiento ya prestado, todo ello contando con que esta información habrá de estar actualizada. En las páginas web estudiadas el denunciado ha optado por informar sobre el uso y las finalidades de los DARD, también denominadas cookies, mediante un sistema de información por capas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 Esta Agencia entiende que la primera capa debe mostrarse la información esencial sobre la existencia de DARD/cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento A su vez, la información adicional ofrecida en la segunda capa debería versar sobre qué son y para qué se utilizan dichos dispositivos, los tipos de DARD utilizados y su finalidad, así como la forma de desactivar o eliminar los DARD enunciados a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, en esta segunda capa debe ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros. Con la identificación de aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos de cookies, siempre que exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. VIII En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que durante las actuaciones previas de inspección la información ofrecida sobre el uso de DARD en ambos portales se limitaba a la prestada en la banda informativa que aparecía al visitar las diferentes páginas de los sitios web analizados (Hechos Probados Tercero y Quinto), la cual, además, no concretaba que se trataba de DARD analíticas de tercera parte usadas para estudiar los hábitos de navegación de los usuarios, no siendo suficiente para identificar su tipología y finalidades indicar que ayudan a “mejorar su experiencia de usuario” o a “mejorar la experiencia de navegación“. Además, en la banda informativa del sitio web www.espia2.com no se advertía del modo u acción que suponía la aceptación de su instalación. También se verificó en los accesos realizados en esa fase los días 4 de diciembre de 2015 y 10 de febrero de 2016, que el enlace que, supuestamente conducía a la segunda capa informativa, en realidad, llevaba a documentos que no proporcionaban ninguna información complementaria sobre este tipo de dispositivos en los términos expresados en el anterior Fundamento de Derecho. Posteriormente, a raíz de los accesos efectuados con fecha 26 de octubre de 2016, se verificó que el denunciado, tras recibir el acuerdo de trámite de audiencia previo al apercibimiento, cambió la información de la banda informativa de primera capa mostrada en el sitio web www.espia2.com, . El denunciado también apuntó el enlace contenido en los avisos de primera capa de ambos sitios web al documento de la segunda capa que alojaba la información sobre “Cookies ”. (Hecho Probado Séptimo y Noveno). A pesar de dichos cambios, también en esta última visita , se observa que el sistema de información por capas de los mencionados sitios web continúa mostrando las carencias informativas que se citan en los siguientes puntos: Primero, en relación con el sitio web www.espia 2.com se observa que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 banda de la primera capa no informa sobre los diferentes tipos de DARD usados y sus finalidades (analíticas, publicitarias y de preferencias), limitándose a señalar que la navegación por el citado sitio suponía aceptar el uso de cookies. En la segunda capa, tampoco se cita el uso de DARD publicitarias y de preferencias de los dominios google.com y google.es ni se especifican sus finalidades. La indicación genérica de que el usuario podrá configurar el navegador para impedir la instalación de dichos dispositivos es insuficiente para entender cumplida la información relativa a los procedimientos de rechazo o bloqueo de los DARD, considerándose necesario proporcionar las herramientas de configuración habilitadas por los principales navegadores utilizados por el público español para posibilitar su desactivación o eliminación. En todo caso, deberá facilitarse el enlace del “Complemento inhabilitación para navegadores de Google Analytics” que resulta necesario para bloquear las Segundo, en relación con el sitio web www.latiendadeldetectiveydelespia.com se observa que la banda de la primera capa no informa claramente sobre el uso y finalidades de los DARD de analítica web, preferencias y publicidad que se descargan. En cuanto a la información contenida en la segunda capa adolece de las mismas deficiencias que las citadas para el caso del sitio web www.espia2.com, ya que muestran idéntico contenido. Tercero, se ha observado que en ambos portales no figura un enlace permanente asociado a la “Política de Cookies” o, en su caso, un enlace con una denominación que permita asociarlo sin ninguna duda con ese tipo de información. Por todo lo cual, se estima que el denunciado no ofrece a los visitantes de los dos portales de su titularidad una información clara, completa y accesible sobre el uso y finalidades de determinados tipos de DARD de tercera parte no exentos del deber de informar que utiliza, a pesar de que dichos visitantes con arreglo a lo dispuesto en el mencionado artículo 22.2 de la LSSI tienen derecho a la misma como destinatarios de servicios de la sociedad de la información. Esta conducta supone la comisión por parte de Don D.D.D. de una infracción del citado artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
42. g)de la citada norma, que señala como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”. IX A los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, añadido a raíz de la modificación operada en la LSSI, el cual dispone lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
43. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 varios de los criterios enunciados en el artículo 40.
44. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
45. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
46. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
47. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
48. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
49. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
50. a)La existencia de intencionalidad.
51. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
52. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
53. d)La naturaleza y cuantía de los perjuicios causados.
54. e)Los beneficios obtenidos por la infracción.
55. f)Volumen de facturación a que afecte la infracción cometida.
56. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39 bis de la LSSI, y en aplicación del criterio jurisprudencial señalado con anterioridad, esta Agencia considera que en este supuesto procede apercibir al denunciado . Ello en atención a las siguientes circunstancias: por un lado se cumplen los requisitos recogidos en las letras
57. a)y
58. b)del art. 39.2 bis y, por otro lado, se constata una cualificada disminución de la culpabilidad del denunciado, teniendo en cuenta varios de los del artículo 40 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 dicha norma. En especial, se entiende que concurre el supuesto derivado de la ausencia de intencionalidad por parte del infractor en la comisión de la infracción imputada, ya que ha quedado probado que tras la notificación del Acuerdo de Audiencia Previa del presente apercibimiento procedió a introducir cambios en el sistema de información por capas empleado en los dos sitios web en aras a subsanar la situación, medidas que, aunque parciales a los efectos pretendidos, ya que no ofrecían una información clara y completa sobre el uso y finalidades de los DARD utilizados como exige el art. 22.2 LSSI, se valoran positivamente a los efectos de acordar la presente resolución. También se tienen en cuenta los criterios derivados de la falta de constancia de que se hayan causado perjuicios al denunciante o de que el infractor haya obtenido beneficios con motivo de la infracción, no habiendo constancia tampoco de que su comisión haya afectado al volumen de facturación de la empresa. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00187/2016) a Don D.D.D. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5.1 y 2 de la LOPD, tipificada como leve en el en el artículo 44.2.
59. c)de la citada Ley Orgánica. 2.- APERCIBIR (A/00187/2016) a Don D.D.D. , con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, con relación a la denuncia por la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.
60. g)de la LSSI. 3.- REQUERIR a D. D.D.D. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de UN MES desde este acto de notificación: 3.1.- CUMPLA lo previsto en el los apartados 1 y 2 del artículo 5 de la LOPD, para lo que se insta al denunciado a incluir en el formulario de recogida de datos personales obrante en el sitio web www.espia2.com, y en forma claramente legible, una cláusula de privacidad con las advertencias exigidas en dicho precepto, o, en su caso, un enlace que dirija al documento que contenga dicha información, de tal modo que los usuarios a los que se solicitan sus datos de carácter personal puedan tener acceso a la misma antes de cumplimentar el formulario en cuestión, procediendo a subsanar las anomalías señaladas en el Fundamento de Derecho III de esta resolución. 3.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos o medios de prueba que justifiquen dicha circunstancia. 4. - REQUERIR a D. D.D.D. , de acuerdo con lo establecido en el citado artículo 39 bis 2 de la LSSI, para que en el plazo de UN MES desde la notificación de la presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 resolución 4.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta al denunciado a configurar los sitios web de su titularidad www.espia2.com y www.latiendadeldetectiveydelespia.com de modo que no instale en los navegadores de los usuarios dispositivos de almacenamiento y recuperación de datos sin la información necesaria para dar cumplimiento al citado precepto, procediendo a subsanar las anomalías señaladas en los puntos Primero al Tercero del Fundamento de Derecho VIII de esta resolución. 4.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos o medios de prueba que pongan de manifiesto tal circunstancia. Se le advierte que en caso de no atender los citados requerimientos podría incurrir en las siguientes infracciones: En caso de incumplir la adopción de medidas correctoras requeridas para subsanar la falta de información previa a los usuarios a los que se recaban datos de carácter personal a través del formulario de “Contacto” del sitio web www.espia2.com incurriría en una infracción del artículo 37.1.
61. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
62. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.” En caso de incumplir la adopción de medidas correctoras requeridas para subsanar la falta de información clara y completa sobre el uso y finalidades de los DARD que se instalan en los navegadores de los usuarios que visitan los sitios web www.espia2.com y www.latiendadeldetectiveydelespia.com incurriría en una infracción del artículo 37.1.
63. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que establece como funciones de la Agencia de Protección de Datos “Cuantas otras le sean atribuidas por normas legales o reglamentarias.”, Dichas infracciones están tipificadas como graves en el artículo 44.3.
64. i)de la LOPD, precepto que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionadas, cada una de ellas, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 5.- NOTIFICAR el presente Acuerdo a Don D.D.D. y a SPY EUROPE MIJOF, S.L.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es