A-00247-2015

1/6 Procedimiento Nº: A/00247/2015 RESOLUCIÓN: R/03272/2015 En el procedimiento A/00247/2015, instruido por la Agencia Española de Protección de Datos a la entidad RADA CALEFACCIÓN, S.L.U.., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21 de octubre de 2014 tiene entrada en esta Agencia un escrito de B.B.B., en adelante la denunciante, en el que manifiesta que: 1. Tras acceder el 24 de septiembre y el 10 de octubre de 32014 al sitio web www.radacalefaccion.com, de la empresa RADA CALEFACCIÓN, S.L.U.., en adelante RADA, no incluye información sobre el uso de cookies, salvo un párrafo genérico incluido en la política de privacidad. 2. El sitio web denunciado utiliza, al menos, la cookie PHPSESSID. 3. A través del apartado contáctanos es posible remitir comunicaciones a la empresa sin que se incluya ningún tipo de información acerca del tratamiento de los datos que deben incluirse en el formulario obligatoriamente (nombre y correo electrónico). 4. En la política de privacidad de la web no se informa sobre la existencia de uno o varios ficheros, la finalidad del tratamiento de los datos, el procedimiento para el ejercicio de derechos o las posibles cesiones de datos, tal y como exige el artículo 5 de la LOPD. La denunciante aporta junto con el escrito de denuncia impresión de capturas de pantalla y de páginas del sitio web. SEGUNDO: La vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones previas de investigación teniendo conocimiento de los siguientes extremos. 1. El 30 de marzo de 2015 se accedió al sitio web www.radacalefaccion.com y se comprobó que: 1.1. La página de “Política de privacidad” del sitio web identifican a RADA CALEFACCIÓN SLU como entidad responsable del mismo. 1.2. En el pie de todas las páginas del sitio web figuran varios enlaces, entre los que se encuentra el de “Política de privacidad, que lleva a la página de “Política y Condiciones de uso”, y el enlace “Contáctanos” que lleva al formulario descrito en el punto 3 de los antecedentes. 2. El 30 de marzo de 2015 se accedió al sitio web denunciado utilizando un navegador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Mozilla Firefox (versión 36.0.4) junto con el complemento Firebug (versión 2.0.8) y un navegador Google Chrome versión 41.0.2272.101 m. Durante el acceso se descargó en ambos casos un único DAR, una cookie de primera parte, la citada en el escrito de denuncia (PHPSESSID) que tiene caducidad de sesión. La cookie contiene un identificador de sesión y es utilizada en sitios web desarrollados con tecnología PHP para gestionar la sesión del usuario dichos sitios. 3. La página descrita en el punto 3 de los antecedentes1 permite a los usuarios del sitio web contactar con los responsables del sitio. El formulario tiene como campos obligatorios el nombre, correo electrónico, la consulta y el código de un campo de verificación utilizado para evitar que sistemas automatizados utilicen el formulario (también conocido como “captcha”). Opcionalmente se pueden proporcionar un teléfono y la provincia. La página tiene al pie de la misma un enlace a la política de protección de datos del sitio web. 4. La página de “Política y Condiciones de uso” incluye la siguiente información: 4.1. Tipo de información almacenada sobre los usuarios: “Rada Calefaccion recoge y almacena información sobre sus usuarios: nombre, dirección, teléfono, dirección de correo electrónico, etc.”. 4.2. Posibles cesiones de los datos de los usuarios: “terceros que realicen ciertos servicios para Rada Calefaccion o para el Portal [..] a las agencias gubernamentales, autoridades judiciales y policiales o cualesquiera otras competentes [...] a otras empresas tras haber recibido el previo consentimiento del Usuario.”. 4.3. Cookies: "Rada Calefaccion puede utilizar cookies cuando un Usuario navega por los sitios y páginas web del Portal. Nuestras cookies se asocian únicamente con un Usuario anónimo y su ordenador, y no proporcionan por sí el nombre y apellidos del Usuario. Gracias a las cookies, resulta posible que Rada Calefaccion pueda guardar ciertos datos de registro y preferencias del Usuario para poder proveer los productos y servicios con más rapidez y eficacia." Si bien en la página se cita el tratamiento de los datos por parte de RADA CALEFACCIÓN SLU, lo cierto es que no se indica que éstos vayan a ser incluidos en un fichero ni la finalidad o finalidades para los que se recogen los datos. No se ha localizado información relativa a los derechos de acceso, rectificación, cancelación y oposición ni sobre el procedimiento a seguir para ejercerlos. TERCERO: Con fecha 28 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00247/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 24/09/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: Han modificado la página web en contenidos y clausulas a fin de cumplir con la 1 http://www.radacalefaccion.com/index.php/seccion/contacto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 normativa. Se aporta documentación que acredita dichas modificaciones que incluyen la política de privacidad y en concreto información relativa al cumplimiento del deber de información previsto en el art. 5 LOPD. QUINTO: De las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- El 30/03/2015 se accedió al sitio web www.radacalefaccion.com y se comprobó que en el pie de todas las páginas del sitio web figuran varios enlaces, entre los que se encuentra el de “Política de privacidad, que lleva a la página de “Política y Condiciones de uso”, y el enlace “Contáctanos” que lleva al formulario a través del cual se recogen datos de carácter personal sin información relativa a los derechos de acceso, rectificación, cancelación y oposición ni sobre el procedimiento a seguir para ejercerlos. DOS.- En fecha de 24/09/2015 se recibe escrito de RADA CALEFACCION S.L., en el que aporta documentación que acredita la modificación de la página web, y en concreto la instauración de un sistema de información respecto del ejercicio de los derechos de acceso, rectificación, cancelación y oposición ni sobre el procedimiento a seguir para ejercerlos. TRES.- En fecha de 01/10/2015 se practicó diligencia de instrucción consistente en el acceso a http://www.radacalefaccion.com/index.php/seccion/contacto/ verificando la instauración de un sistema de información que señala que: Asimismo, declaro estar informado sobre los derechos de acceso, rectificación, cancelación y oposición que podré ejercitar en el domicilio de RADA CALEFACCION SL en (C/........1) VIZCAYA; o bien remitiendo un mensaje a la dirección de correo electrónico baja.datos@radacalefaccion.com FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II En el presente caso se imputa la comisión de la infracción del art. 5 de la LOPD que dispone que: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. Ha resultado acreditado que la entidad denunciada disponía de un formulario en la página web donde recogía datos de carácter personal sin la información que requiere el art. 5 de la LOPD, lo que constituye la conducta típica prevista en el art. 44.2 LOPD que considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
8. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
9. a)y
10. b)del citado apartado 6 del artículo 45 de la LOPD. IV No obstante lo anterior, tras la recepción de las alegaciones y documentación aportada por la entidad denunciada se constata que ha regularizado la situación denunciada dando cumplimiento a lo dispuesto en el art. 5 de la LOPD. En este sentido, debe tenerse en cuenta la circunstancia de que el apercibimiento que correspondería de acuerdo con el art 45.6 LOPD, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues ya ha adaptado su página web a la normativa citada. Conviene traer a colación lo dispuesto en la Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento, como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado la solución que procede en Derecho es el archivo de actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO de Apercibimiento (A/00247/2015) a D. RADA CALEFACCIÓN, S.L.U.. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
11. c)de la citada Ley Orgánica. SEGUNDO.- NOTIFICAR el presente Acuerdo a D. RADA CALEFACCIÓN, S.L.U.. y a D. B.B.B.. TERCERO.- Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es