← España

A-00210-2018

1/10 Procedimiento Nº: A/00210/2018 RESOLUCIÓN: R/01143/2018 En el procedimiento A/00210/2018, instruido por la Agencia Española de Protección de Datos a la entidad SARO YACHTS SL, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/03/2018 tiene entrada en esta Agencia una denuncia presentada por A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta que la página web www.materialdirecto.es utiliza cookies (DARD en lo sucesivo) incumpliendo las obligaciones de información y consentimiento que establece la ley. Adjunta a la denuncia impresiones de pantalla de la página web dónde se muestra la descarga de DARD y datos almacenados de forma local: _unam; _zcimd; _zlcprivay; _ga; _gid. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En fecha de 9/04/2018 se accede al sitio web y se verifica lo siguiente: 1.1. No consta información relativa a la obtención del consentimiento informado de los usuarios acerca del uso de DARD. 1.2. Se verifica la descarga de DARD no exentos del deber de obtención del consentimiento informado. 1.3. No consta información específica relativa la Política de Cookies. 1.4. Se establece un formulario para crear una cuenta de usuario que requiere una dirección de correo electrónico y una contraseña. 1.5 En el enlace AVISO LEGAL, se muestra la siguiente información: El presente aviso legal establece las condiciones de uso del sitio web www.materialdirecto.es (en adelante SARO YACHTS, SLU), con domicilio en Avda. Francesc Macià, 9, 3-3 08870 Sitges-Barcelona con NIF B-65275257 pone a disposición de Los Usuarios. Conforme a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, en adelante LOPD; le informamos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 que los datos personales suministrados a través de la “La Página Web”, formarán parte de un fichero automatizado o no, responsabilidad de la empresa, con el fin de la gestión y mantenimiento de la relación contractual/precontractual y que puedan ser utilizados con una finalidad comercial, operativa y actividades propias del objeto social de la empresa remitiéndole información por cualquier medio de comunicación tales como fax, teléfono, e-mail, postal, sms, etc. La empresa conservará sus datos una vez finalizada toda la relación con El Usuario para cumplir obligaciones legales y comunicarlos a los organismos públicos que amparados en la Ley correspondiente los soliciten. Los datos solicitados son obligatorios, en caso de negarse a comunicar los datos será imposible informarle sobre su solicitud. SARO YACHTS, SLU procederá a la cancelación de los datos recogidos cuando dejen de ser necesarios o pertinentes para la finalidad para la que hubiesen sido recabados o registrados. En el caso de que los datos recogidos se utilizasen para una finalidad distinta para la cual hubiesen sido recabados o recogidos se requerirá el consentimiento previo del Usuario. SARO YACHTS, SLU ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad e integridad de los datos, así como para evitar su alteración, perdida, tratamiento o acceso no autorizado, en concreto las establecidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal El Usuario cuyos datos sean objeto de tratamiento podrá ejercitar gratuitamente los derechos de oposición, acceso e información, rectificación, cancelación de sus datos y revocación de su autorización sin efectos retroactivos en los términos especificados en la LOPD conforme al procedimiento legalmente establecido. Estos derechos podrán ser ejercitados dirigiendo comunicación por escrito a la siguiente dirección: Avda. Francesc Macià, 9, 3-3, 08870 Sitges Barcelona 2. En el asiento del Registro Mercantil Central relativo a la entidad figura SARYO YACHTS S.L. con CIF B-65275257 y domicilio en Avda. Francesc Macià, 9, 3-3, 08870 Sitges Barcelona. 3. En fecha de 9/04/2018 por los servicios de inspección de la Agencia se solicita información a la entidad denunciada mediante escrito dirigido a la dirección que consta en el Registro Mercantil Central que coincide con la que muestra la página web a efectos identificativos y para ejercer los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 4. Mediante certificado del Servicio Estatal de Correos y Telégrafos de 21/04/2018 se indica que la notificación del requerimiento referenciado en el punto anterior ha sido devuelta por no retirar el aviso en la oficina de correos tras realizarse dos intentos de notificación en fechas de 12/04/2018 a las 19:25 h y 13/04/2018 a las 12:13 h. TERCERO: Con fecha 18 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00210/2018 a SARO YACHTS SL con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI y artículo 45.6 de la LOPD, con relación a la denuncia por infracción de los artículos 22.2 de la LSSI, tipificada como leve en el artículo 38.4

  1. g)de dicha norma y por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
  2. c)de la LOPD. En fechas de 18/05/2018 y 16/09/2018 se intentó la notificación del Acuerdo de Audiencia Previa en el domicilio del denunciado. CUATRO: Mediante escrito de fecha 2/07/2018 por el instructor del procedimiento se envió comunicación al denunciado relativa a las obligaciones de información que prevé el artículo 13 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (en lo sucesivo, RGPD). La notificación fue devuelta por no retírala en la Oficina de Correos en el plazo indicado en el aviso que se depositó en el buzón del domicilio. CINCO: de las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 9/04/2018 se accede al sitio web www.materialdirecto.es y se verifica la descarga de DARD no exentos del deber de obtención del consentimiento informado. No consta información relativa a la obtención del consentimiento informado de los usuarios acerca del uso de DARD. No consta información específica relativa la Política de Cookies. DOS.- En la misma fecha, se verifica que la página web utiliza un proceso de recogida de datos personales a través de un formulario para crear una cuenta de usuario que requiere una dirección de correo electrónico y una contraseña. La finalidad del tratamiento de la que se informa es la siguiente: (…) con el fin de la gestión y mantenimiento de la relación contractual/precontractual y que puedan ser utilizados con una finalidad comercial, operativa y actividades propias del objeto social de la empresa remitiéndole información por cualquier medio de comunicación tales como fax, teléfono, e-mail, postal, sms, etc (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),
  3. f)y
  4. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en lo sucesivo LOPD), y el artículo 43.1 párrafo segundo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente caso se atribuye a SARO YACHTS SL la comisión de la infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”, en relación con el artículo 15 del RDLOPD, que establece que: si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Ha resultado probado que la página web dispone de un procedimiento de recogida de datos personales, para su tratamiento y que la información que ofrece no cumple las exigencias de los preceptos indicados, pues determina finalidades no relacionadas directamente con la prestación del servicio (-finalidad publicitaria-) sin proporcionar al usuario un medio para oponerse en el momento del registro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 La conducta descrita está tipificada como leve en el artículo 44.2
  10. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  12. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  13. a)y
  14. b)del citado apartado 6 del artículo 45 de la LOPD. IV No obstante, lo anterior debe tenerse en cuenta que si bien el presente procedimiento se inició antes de la plena aplicación del RGPD (25 de mayo de 2018), en la actualidad todo responsable del tratamiento debe adecuarse a sus previsiones. Razón por la que mediante escrito de fecha 2/07/2018 se remitió una comunicación a fin de que por parte del denunciado, adecuará la página web a los deberes de información previstos en el art. 13 del RGPD, que indica la información que debe facilitarse al interesado en el momento de la recogida de sus datos, la cual debe presentarse de forma clara y concisa, y que deberá ser la siguiente: •Identidad y datos de contacto del responsable del tratamiento. En su caso, debe proporcionarse también la identidad y datos de su representante. •Los fines para los que se destinarán los datos personales recogidos. •Qué base, de las recogidas en el artículo 6 del RGPD, legitima el tratamiento de los datos personales. Además, la información deberá contener: •Cuando el tratamiento de los datos se base en la satisfacción de intereses legítimos, debe indicarse también cuáles son estos intereses legítimos del responsable o de un tercero, en virtud de los cuales se realiza el tratamiento. •Cuando la base del tratamiento sea el consentimiento del interesado y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 información incluya una solicitud de consentimiento, la solicitud de consentimiento debe distinguirse claramente de otras cuestiones sin que el silencio, las casillas ya marcadas o la inacción constituyan consentimiento. El interesado deberá ser informado de la finalidad para la que se solicita el consentimiento y de las categorías de datos que se recogerán y se tratarán para esa finalidad. Si el consentimiento se solicita para varias finalidades se deberá permitir a los interesados que presten su consentimiento por separado para cada uno de tales fines. Así mismo se debe informar al interesado de su derecho a retirar el consentimiento en cualquier momento. •El plazo durante el cual se conservarán los datos personales. De no ser esto posible, los criterios utilizados para determinar ese plazo. •El derecho del interesado a solicitar al responsable del tratamiento el acceso a sus datos personales, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos. También el derecho a presentar una reclamación ante la Autoridad de Control. Adicionalmente se deberá facilitar al interesado la siguiente información: •Si está prevista la cesión de los datos personales recogidos, se debe detallar quiénes serán los destinatarios o las categorías de destinatarios de estos datos. •Si el interesado tiene una obligación legal o contractual de facilitar sus datos, o si se trata de un requisito necesario para suscribir un contrato, o si el interesado está obligado a facilitar los datos personales. Así mismo, en tales casos, debe informarse de las posibles consecuencias de no facilitar tales datos. •En caso de que se cuente con un delegado de protección de datos, deben facilitarse los datos de contacto de éste. •Si se adoptaran decisiones automatizadas, incluida la elaboración de perfiles, debe informarse de la existencia de estas decisiones y dar información significativa sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas de dicho tratamiento para el interesado. •Si existiera la intención de transferir datos personales a terceros países, se debe informar al interesado de la existencia de decisiones de adecuación, garantías, normas corporativas vinculantes o situaciones específicas aplicables. En definitiva, si bien se acredita el incumplimiento de lo dispuesto en el art. 5 de la LOPD, idénticas consideraciones se deducen de la observancia por parte del denunciado, de las obligaciones previstas en el art. 13 del RGPD. En el presente supuesto se cumplen los requisitos recogidos en las letras
  15. a)y
  16. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que instaure un sistema de información en su página web cuando recoja datos de carácter personal que cumpla con lo dispuesto en el art. 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 V Asimismo se atribuye a SARO YACHTS SL la comisión de una infracción del artículo 22.2 de la LSSI que dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. La citada infracción se encuentra tipificada como leve en el artículo 38.4.
  17. g)de dicha norma, que califica como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” VI El Anexo de la LSSI define en su apartado
  18. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  19. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a SARO YACHTS S.L., como responsable de la página web objeto de análisis y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. VII En el presente caso ha resultado que en las pruebas de acceso realizadas en la página web, se utiliza DARD no exentos del deber de obtención del consentimiento previo e informado del usuario y no se ha hallado procedimiento alguno en ese sentido. La conducta descrita está tipificada como leve en el artículo 38.4.
  20. g)de la citada norma, que señala como tal Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2. VIII El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  21. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  22. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  23. a)y
  24. b)del citado apartado 2 del artículo 39 bis. Requiriéndose al denunciado la adopción de medidas para la adecuación a la normativa citada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 IX En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00210/2018) a SARO YACHTS SL, con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22.2 de la citada norma, tipificado como leve en su artículo 38.4. g). SEGUNDO.- APERCIBIR (A/00210/2018) a SARO YACHTS SL, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
  25. c)de la citada Ley Orgánica. TERCERO.- REQUERIR a SARO YACHTS SL, de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 13 del RGPD, para lo que se insta a dicha entidad a configurar el sitio web del que es responsable, de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la obtención del consentimiento previo e informado de los usuarios y que instaure un sistema de información que cumpla lo dispuesto en el 13 del RGPD. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se le advierte que, en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. CUARTO.- NOTIFICAR el presente Acuerdo a SARO YACHTS SL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.