A-00201-2015

1/12 Procedimiento Nº: A/00201/2015 RESOLUCIÓN: R/02844/2015 En el procedimiento A/00201/2015, instruido por la Agencia Española de Protección de Datos a la entidad CAR CONTROL LOGISTIC, S.L.., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de noviembre de 2014 tiene entrada en esta Agencia un escrito de B.B.B., en adelante el denunciante, en el que manifiesta que los sitios web http://cclogistic.es y www.transportedecoches.es no cumplen con la ley de cookies ni con la ley orgánica de protección de datos y que la entidad responsable de los mismos es CAR CONTROL LOGISTIC, S.L.., en adelante CCL. Junto con el escrito de denuncia aporta impresiones de pantalla de los sitios web citados y del sitio www.logistus.es SEGUNDO: Del examen de la documentación aportada por el denunciante y de las actuaciones practicadas se desprende lo siguiente: Respecto del sitio web www.logistus.es 1. El dominio está registrado a nombre de CAR CONTROL SCP, que es la sociedad que más tarde se transformó en CCL. 2. El sitio web, dedicado al transporte de vehículos, está compuesto por una única página. En dicha página se encuentran tres formularios que recogen datos de clientes (personas o empresas que desean transportar un vehículo) y transportistas, además de un formulario de contacto en el que se recogen el nombre, dirección de correo electrónico y la consulta a realizar. Los datos recogidos tanto para clientes como para transportistas son los mismos. Son obligatorios el nombre de la empresa, su CIF y dirección completa, el nombre y apellidos de la persona de contacto, su dirección de correo electrónico y una clave de acceso. Son opcionales un teléfono fijo, un móvil, un fax y una segunda dirección de correo electrónico. 3. El sitio web indica en su pie de página que los derechos del sitio web son de CCL pero no se ha podido localizar en el sitio información sobre la recogida de los datos conforme a lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD). 4. Tampoco se ha podido localizar en el sitio web información sobre el uso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 dispositivos de almacenamiento y recuperación de datos (DARD) en equipos terminales según lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE). 5. El día 20 de febrero se realizaron pruebas de acceso al sitio web utilizando un navegador Mozilla Firefox y un navegador Google Chrome. Durante las pruebas se descargó un único DARD, denominado PHPSESSID, con caducidad de sesión. El DARD denominado PHPSESSID contiene un identificador de sesión. Es utilizado en sitios web desarrollados con tecnología PHP para gestionar la sesión del usuario del sitio web Respecto del sitio web www.transportedecoches.es 6. El dominio transportedecoches.es está registrado a nombre de CAR CONTROL SCP, que es la sociedad que más tarde se transformó en CCL. 7. El sitio web, dedicado al transporte de vehículos, está compuesto por 6 páginas web. No se ha localizado en el sitio web formulario alguno de recogida de datos personales. En varias de las páginas del sitio web se ofrece la posibilidad de solicitar presupuesto de distintos tipos de servicios pero en tales casos se proporciona un botón o enlace que lleva a otros sitios web (www.cclogistic.es y www.clasicosparanuncios.es). 8. En dos de las páginas del sitio web aparece identificada CCL como propietaria de los derechos del sitio web y como entidad con la que contactar para pedir un presupuesto. 9. No se ha podido localizar en el sitio web información sobre el uso de dispositivos de almacenamiento y recuperación de datos (DARD) en equipos terminales según lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE). 10. El día 20 de febrero se realizaron pruebas de acceso al sitio web utilizando un navegador Mozilla Firefox y un navegador Google Chrome. Durante las pruebas se descargaron los siguientes DARD: Dominio Nombre Primera - Tercera parte Caducidad transportedecoches.es _utma Tercera transportedecoches.es _utmb Tercera Persistente Persistente transportedecoches.es _utmc Tercera Sesión transportedecoches.es _utmz Tercera Persistente transportedecoches.es _utmt Tercera Persistente google.com PREF Tercera Persistente google.com S Tercera Sesión picassaweb.google.com _rtok Tercera Sesión 11. Los cinco DARD vinculados al dominio transportedecoches.es son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 12. En la información proporcionada por Google Inc. en una de sus páginas web 1 sobre el uso que da a algunos de sus DARD se incluye la denominada PREF. La página informa de que “Google utiliza cookies, como la cookie PREF, para poder personalizar los anuncios que se muestran en los servicios de Google como, por ejemplo, la Búsqueda de Google, especialmente cuando no has iniciado sesión en una cuenta de Google. También utilizamos cookies para anuncios que mostramos fuera de Google. Nuestra principal cookie publicitaria se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras 13. No se ha podido localizar información sobre la finalidad de los DARD denominados S y “_rtok”. Este último, vinculado al dominio picassaweb.google.com parece tener relación con el servicio denominado “Picassa”, prestado por Google Inc, que permite publicar y compartir fotografías en Internet. Respecto del sitio web http://cclogistic.es 14. El dominio cclogistic.es está registrado a nombre de GARBY RECICLA SL. 15. El sitio web, dedicado al transporte de vehículos, está compuesto por 4 páginas web. Dos de las páginas contienen formularios que recogen datos: Formulario de solicitud de presupuesto, que recoge obligatoriamente una dirección de correo electrónico, datos relativos al vehículo a transportar, a su dirección de origen y de destino. De manera opcional se recogen otros datos como el nombre de quien contrata el servicio y su teléfono. Formulario de reserva, mediante el cual se puede solicitar el servicio, en el que se recoge obligatoriamente el nombre y dirección de correo electrónico, los datos del vehículo o vehículos a transportar y el importe del servicio. 16. En el sitio se identifica a CCL como prestadora del servicio de transporte pero no se ha podido localizar en el sitio información sobre la recogida de los datos conforme a lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD). 17. Tampoco se ha podido localizar en el sitio web información sobre el uso de dispositivos de almacenamiento y recuperación de datos (DARD) en equipos terminales según lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE). 18. El día 20 de febrero se realizaron pruebas de acceso al sitio web utilizando un navegador Mozilla Firefox y un navegador Google Chrome. Durante las pruebas se descargaron cinco DARD vinculados al dominio transportedecoches.es son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web. Además de los DARD listados previamente, también se produjo la descarga de un DARD persistente basado en HTML5, cuyo contenido son dos pares clave valor utilizado para almacenar la fecha actual (con su hora) y unos datos sobre el formato de la página web. 1 http://www.google.com/intl/es_es/policies/technologies/types C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 TERCERO: Con fecha 16 de julio de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00201/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 10/08/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: -En relación con la infracción del art. 5 LOPD, y con el sitio www.logistus.es hay que señalar que dicha plataforma se encuentra orientada a profesionales y empresas del transporte, por lo que estamos ante una de las excepciones previstas en los artículos 2.2 y 2.3 del RDLOPD -Subsanación: en lo referente al sitio web www.cclogistic.es hay que señalar que las comprobaciones realizadas tras la denuncia recogen circunstancias relativas a una página web en vías de desarrollo, en la actualidad y a pie de formulario se ha insertado un texto que cumple con el art. 5 LOPD. -En relación con la infracción del art. 22.2 de la LSSI, y el sitio web www.logistus.es hay que señalar que dados los destinatarios de la misma y lo dispuesto en el ultimo párrafo del art. 22.2 LSSI que remite a la LOPD también estaríamos ante una de las excepciones previstas en los artículos 2.2 y 2.3 del RDLOPD. -Subsanación: en la actualidad aquellos usuarios que acceden a www.cclogistic.es son informados mediante un procedimiento compuesto por dos capas. -Concurren las circunstancias previstas en los arts. 45.6 LOPD y 39 bis 2 de la LSSI para el apercibimiento. Así como en relación con la potestad sancionadora y concurrencia de circunstancias de especial consideración para el caso de que no se proceda al apercibimiento. QUINTO.- En fechas de 26/08/2015 y 19/10/2015 por el Instructor del procedimiento se accede a los sitios web www.logistus.es, www.cclogistic.es y www.transportesdecoches.es verificándose lo siguiente: I.En la página web www.logistus.es/# se muestran dos formularios de recogida de datos Envío de Coches y Transportes de Coches donde se solicitan datos de carácter personal. Asimismo en un enlace en la parte superior derecha de la página se muestra un enlace Contacto donde al pulsarlo se abre un cuadro de dialogo “Formulario de Contacto” con los campos relativos a Nombre, email y consulta. No consta información relativa al deber previsto en el art. 5 de la LOPD. II.En la página web www.cclogistic.es al acceder se muestra una primera banda informativa o banner, donde informa del uso de cookies. Con un enlace a la política de cookies alojado en http://cclogistic.es/politica-de-cookies/. Cuando se accede a dicho enlace y se sale de la página, cuando se vuelve a acceder no es posible encontrar la política de cookies ya que únicamente esta disponible a través de la primera banda informativa. Se verifica la descarga e instalación de cookies de terceros de carácter persistente y finalidad publicitaria C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 bajo el dominio de www.youtube.com III.En la página web www.transportesdecoches.es al acceder el navegador muestra un mensaje “Not Found” HTTP Error 404. SEXTO: de las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 20/02/2015 se realizaron pruebas de acceso al sitio web www.logistus.es utilizando un navegador Mozilla Firefox y un navegador Google con caducidad de sesión. DOS.- En fechas de 20/02/2015, 26/08/2015 y 19/102015 se realizaron pruebas de acceso al sitio web www.logistus.es y se verificó la existencia de dos formularios de recogida de datos personales y un cuadro de dialogo web, sin información del art. 5 de la LOPD. TRES.- En fecha de 20/02/2015 se realizaron pruebas de acceso al sitio web cclogistic.es utilizando un navegador Mozilla Firefox y un navegador Google Chrome y se descargaron cinco DARD vinculados al dominio transportedecoches.es son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y la descarga de un DARD persistente basado en HTML5, cuyo contenido son dos pares clave valor utilizado para almacenar la fecha actual (con su hora) y unos datos sobre el formato de la página web. CUATRO.- En fecha de 26/08/2015 y 19/10/2015 se realizaron pruebas de acceso al sitio web cclogistic.es y se verifico que se muestra una primera banda informativa o banner, donde informa del uso de cookies. Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información. CINCO.- En la banda informativa transcrita en el párrafo anterior, consta un enlace a la política de cookies alojado en http://cclogistic.es/politica-de-cookies/. Cuando se accede a dicho enlace y se sale de la página, cuando se vuelve a acceder no es posible encontrar la política de cookies ya que únicamente está disponible a través de la primera banda informativa. Se verifica la descarga e instalación de cookies de terceros de carácter persistente bajo el dominio de www.youtube.com SEIS.- En fechas de 26/08/2015 y 19/10/2015 se realizaron pruebas de acceso al sitio web www.transportesdecoches.es y se verifico que no es posible acceder a ningún contenido. No está operativa la página web. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 De conformidad con lo establecido en los artículos 36 y 37.a),

1. f)y
2. n)de la LOPD, y 43.1 párrafo segundo de la LSSI la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Dispone el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la entidad denunciada a través de las pagina web www.logistus.es recoge datos de carácter personal sin la información que exige el citado artículo. La entidad denunciada alega en su descargo que en la medida en que los destinatarios de sus servicios son profesionales o empresas en atención a que consta “Envío de Coches” y “Transportes de Coches”, estarían excluidos del ámbito de aplicación de la normativa de protección de datos, de acuerdo con el art. 2.2 y 2.3 del RDLOPD. Frente a ello, debe señalarse que no puede presuponerse tal condición en base al público destinatario de sus servicios, pues cualquier persona puede usar los formularios puestos al efecto. Sin olvidar que la exclusión que la norma realiza de los profesionales y personas de contacto de entidades jurídicas únicamente opera en dicha condición, es decir, puede que los datos de un profesional o los de contacto sean tratados para finalidades al margen de su condición, por lo que la interpretación que ha de realizarse respecto del alcance de la protección de un derecho fundamental debe ser extensiva, sin que quepa la exclusión alegada puesto que no es posible conocer, a priori, el tratamiento al que puede ser sometidos los datos que se proporcionen en la web. Por otro lado no puede olvidarse que en el enlace dispuesto en la parte superior derecha de la página web denominado “contacto” se despliega un formulario que no tiene destinatario concreto. De modo que los usuarios de la página web que introduzcan sus datos personales desconocen el tratamiento al que van a ser sometidos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. En conclusión la entidad denunciada vulnera lo dispuesto en el art. 5 de la LOPD, suponiendo la infracción leve prevista en el art. 44.2
8. c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
11. a)y
12. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que incluya la información relativa del art. 5 de la LOPD en la recogida de los datos que realice a través de las páginas web de las que es responsable. IV Los hechos objeto de imputación del presente expediente constituyen también la infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, que dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Con carácter previo a la valoración del fondo del asunto es preciso analizar las alegaciones que realiza la entidad denunciada respecto de la no aplicación de la LSSI a los hechos denunciados en la medida en que según manifiesta le es de aplicación la excepción prevista en los arts. 2.2 y 23 del RDLOPD, por aplicación del último párrafo del art. 22.2. Pues bien, la remisión que se realiza en el citado artículo, en concreto (…)con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal(…), es explicativa de los fines del tratamiento, es decir, que de acuerdo con la LOPD se deberá ofrecer una determinada información, y no para aplicar las exclusiones a su aplicación. Por lo que la alegación de CAR CONTROL LOGISTIC, S.L.., debe ser desestimada. Conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. Por un lado, el Anexo de la LSSI define en su apartado
13. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
14. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (...). En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a CAR CONTROL LOGISTIC, S.L.., en tanto es titular y responsable de las páginas logistus.es y cclogistic.es y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. V La protección que otorga el citado precepto tiene su justificación en la medida que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 VI En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que en el inicio de las actuaciones de inspección se verifico respecto de www.trasportesdecoches.es la descarga e instalación de DARD no exentas del deber de informar, sin aviso alguno sobre dichos dispositivos, debiendo señalarse que tras las pruebas realizadas en fechas de 26/08/2015 y 19/10/2015 se verifico que no es posible acceder a dicha página web. Respecto de www.cclogistic.es en las pruebas de acceso realizadas en fechas de 26/08/2015 y 19/10/2015 se verifico que se descargaban cookies de terceros de carácter publicitario y persistente (PREF bajo el dominio youtube.com) y que la información ofrecida en la primera capa no satisfacía el mandato legal, en la medida en que de la literalidad que consta (…) Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continua navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de instalación de las cookies descritas. Dichas cookie se descarga debido a que están vinculadas a algunos productos y servicios de Google utilizados por el sitio web analizado. Es la propia Google la que en una de sus páginas informa de que utiliza esas cookies "...para poder personalizar los anuncios que se muestran en sus servicios como, por ejemplo, la Búsqueda de Google.". Dada su finalidad publicitaria las citadas cookies no se encuentran exceptuadas del deber de obtener el consentimiento informado pero en la política de Asimismo el acceso a la Política de Cookies solo es posible a través de la primera capa arriba citada, ya que se oculta una vez cerrada aquella, lo que también impide el conocimiento a los usuarios de tales extremos. Por todo ello se estima vulnerado el art. 22.2 de la LSSI cuya infracción se encuentra tipificada como leve en el art. 38.4
15. g)que considera como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” Respecto de www.transportedecoches.es se verifico que si bien al inicio de las actuaciones previas de investigación incumplía lo dispuesto en el art. 22.2 LSSI, durante la instrucción del expediente se comprobó que no es posible acceder a dicha página web. VII En conclusión, respecto de la vulneración del art. 22.2 de la LSSI, se insta a CAR CONTROL LOGISTIC, S.L.. para que modifique la información ofrecida en la primera banda informativa o banner de la web www.cclogistic.es en el sentido de que se deduzca claramente el tipo de DARD instalados y se permita acceder al enlace que aloja la Política de Cookies, desde cualquier subdominio de la citada página web, para que siempre este accesible dicha información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En relación con la vulneración del art. 5 de la LOPD, se insta a CAR CONTROL LOGISTIC, S.L.. para que adecue la información ofrecida a dicho precepto cuando recoja datos de carácter personal a través de los formularios y el cuadro de dialogo que se cita en el Hecho Probado DOS y en el Fundamento de Derecho III de la presente resolución. VIII En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00201/2015) a CAR CONTROL LOGISTIC, S.L.., .con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). SEGUNDO.- APERCIBIR (A/00201/2015) a CAR CONTROL LOGISTIC, S.L.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
16. c)de la citada Ley Orgánica. TERCERO.- REQUERIR a CAR CONTROL LOGISTIC, S.L. de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto y que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, tal como se señala en el Fundamento de Derecho VII de la presente Resolución. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/07167/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. CUARTO.- Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en una infracción del artículo 37.1 apartados
17. f)o
18. n)según sea incumplimiento del requerimiento de la LSSI o de la LOPD, tipificada como grave 44.3
19. i)que considera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 como tal No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma. , pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO.- NOTIFICAR la presente resolución a D. CAR CONTROL LOGISTIC, S.L.. y a D. B.B.B.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es