← España

A-00262-2018

1/9 Procedimiento Nº: A/00262/2018 RESOLUCIÓN: R/01692/2018 En el procedimiento A/00262/2018, instruido por la Agencia Española de Protección de Datos a la entidad D. A.A.A., vista la denuncia presentada por MBC GLOBAL LEARNING INSTITUTE S.L. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/03/2018 tiene entrada en esta Agencia escrito de la entidad MBC Global Learning Institute S.L. (el denunciante en lo sucesivo) en el que pone de manifiesto que la página web www.ispeak.es no dispone de Aviso Legal, ni de aviso de uso de cookies. La página web dispone de una sección de contacto, donde hay que indicar nombre, apellidos, teléfono y correo electrónico, tienen tienda online, y un pop-up, para apuntarse a una newsletter. En la página no aparece ninguna información de quién es el responsable de la misma, ni sociedad, ni persona física. El dominio de la página pertenece a D. A.A.A. (el denunciado en lo sucesivo). SEGUNDO: A la vista de los hechos denunciado y en fase de actuaciones previas, se tiene conocimiento de lo siguiente: 1 -En fecha de 9/04/2018 se accede al sitio web y se verifica la descarga e instalación en los terminales de los usuarios de dispositivos de almacenamiento y recuperación de datos (DARD o cookies en lo sucesivo) sin que se halle un procedimiento de obtención del consentimiento informado. En la diligencia de inspección de esa fecha se verifica lo siguiente:  No consta información alguna sobre el uso de DARD.  Se verifica la descarga de DARD de terceros de carácter publicitario, de analítica web y de otras funcionalidades.  Se verifica un enlace dispuesto a fin de que los usuarios se inscriban en la recepción de una newsletter y en el enlace http://www.ispeak.es/contacto.html se verifica la existencia de un formulario de recogida de datos personales.  No se halla información relativa al responsable del fichero o tratamiento, ni el procedimiento para el ejercicio de los derechos ARCO, ni de la finalidad del tratamiento. 2 –Mediante escrito de fecha 9/04/2018 se requiere información al denunciado relativa a las medidas a adoptar para cumplir con las obligaciones legales en materia de obtención del consentimiento informado para el uso de DARD de acuerdo con el art. 22.2 de la LSSI y respecto de la información que ofrezca al usuario en el tratamiento de datos personales de acuerdo con el art. 5 de la LOPD. 3 –Transcurrido el plazo otorgado en el citado requerimiento sin recibir contestación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 se accede al sitio web en fecha de 23/05/2018 y se verifica lo siguiente:  Al acceder al sitio web www.ispeak.es se muestra el siguiente mensaje a través de un banner: Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Si continúa navegando, consideramos que acepta su uso Aviso Legal Entendido  Se verifica que se instalan DARD no exentos del deber de informar al acceder al sitio web, con independencia de hace clic en el botón Entendido del banner citado.  Se verifica la existencia de un enlace AVISO LEGAL http://www.ispeak.es/aviso-legal.html dónde se muestra, entre otra, la siguiente información: Identificación del titular de la página web, domicilio, CIF, teléfono y correo electrónico.  Incluye un apartado denominado POLÍTICA DE PRIVACIDAD, donde informa lo siguiente: (…) Cualquier dato de carácter personal que el Usuario facilite a través del correo electrónico, formularios electrónicos u otros medios pasarán a formar parte de los ficheros propiedad de ISPEAK que se encuentran debidamente registrados en la Agencia Española de Protección de Datos. (…) (…) Las finalidades de los tratamientos van dirigidas a la prestación de los servicios que el Usuario pudiera manifestar, a la correcta identificación del Usuario que solicita servicios personalizados, a la realización de estudios estadísticos que permitan diseñar mejoras en los servicios prestados, a la gestión de la solicitud de empleo y a la inclusión de la misma en futuros procesos de selección de personal que el Responsable pudiera llevar a cabo, a la realización de acciones formativas, a la gestión de tareas básicas de administración, así como para la comunicación, bien por correo electrónico bien por cualquier otro medio, de novedades, productos y servicios relacionados con ISPEAK o con terceras entidades colaboradoras que pudieran resultar de su interés (tarea esta última siempre identificada como tal). ISPEAK se compromete a tratar los datos del Usuario de forma confidencial y solamente serán cedidos a terceros (entendiéndose por tercero “Las entidades colaboradoras de ISPEAK que suministran servicios específicos a sus clientes o empleados”) para el cumplimiento efectivo de los servicios solicitados por el Usuario. De otra forma, solicitará el consentimiento previo al Usuario. (…) El Usuario podrá ejercitar los derechos reconocidos en la LOPD, de acceso, rectificación, cancelación y oposición mediante petición escrita dirigida a ISPEAK Ref. Protección de Datos) mediante escrito dirigido a la dirección postal Cl Cañada de la honda S/N local 17,18 y 19, 19170 El Casar, Guadalajara (España) o a través de correo electrónico a la cuenta info@ispeak.es, señalando el derecho a ejercer y aportando documento acreditativo de su identidad.(…)  Incluye un apartado denominado POLÍTICA DE COOKIES que incluye información sobre ¿Qué son las cookies? Tipos de cookies. Cookies que utiliza la página web, realizando una clasificación funcional. Cookies que utiliza la web y un cuadro, distinguiendo nombre, propósito, emisor, tipo y duración. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Asimismo, incluye una relación de los enlaces a las páginas web de los principales navegadores para configurar el uso de DARD. 4- En fecha de 6/07/2018 se remite un escrito al denunciado informándole de las obligaciones de cumplimiento que establece el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante RGPD), de plena aplicación a partir del 25/05/2018, en concreto de la obligación de informar en los términos del art. 13 del RGPD, para que en el plazo de un mes proceda a la adecuación de su página web. 4.1 Según consta en el Acuse de recibo de la entidad Correos y telégrafos, la comunicación fue notificada en fecha de 9/07/2018. 5- En fecha de 14/08/2018 se accede a la página web, verificando la existencia de un formulario de recogida de datos personales para la inscripción de un campus de verano a menores de edad, que para la cual, debe aceptarse la política de privacidad. Se accede al enlace habilitado al efecto y se verifica que es el mismo que se indica en el punto 3. No consta que el responsable de la página web haya incluido la información que requiere el art. 13 del RGPD. TERCERO: Consultada el 23/08/2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado, no le constan registros previos. CUARTO: Con fecha 4 de septiembre de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00262/2018, de conformidad con lo establecido en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), con relación a la denuncia por infracción de su artículo 5, tipificada como leve en el artículo 44.2.

  1. c)de la LOPD y actualmente el art. 13 del RGPD; Así como con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, con relación a la denuncia por infracción de los artículos 22.2 de la LSSI, tipificada como leve en el artículo 38.4
  2. g)de dicha norma. Dicho acuerdo fue notificado al denunciado. QUINTO: Con fecha 10/10/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Adjunto los cambios realizados en la página web www.ispeak.es, se ha modificado la política de protección de datos, la política de de datos. Adjunto pantallazos de los cambios y espero que con esto esté cumpliendo los requisitos solicitados…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 SEXTO: Con fecha 16/10/2018 se accede desde esta Agencia a la política de protección de datos y la política de cookies de la página web del denunciado. HECHOS PROBADOS PRIMERO: Con fecha de 16/03/2018 tiene entrada en esta Agencia escrito de la entidad MBC Global Learning Institute S.L. (el denunciante en lo sucesivo) en el que pone de manifiesto que la página web www.ispeak.es no dispone de Aviso Legal, ni de aviso de uso de cookies. La página web dispone de una sección de contacto, donde hay que indicar nombre, apellidos, teléfono y correo electrónico, tienen tienda online, y un pop-up, para apuntarse a una newsletter. En la página no aparece ninguna información de quién es el responsable de la misma, ni sociedad, ni persona física. El dominio de la página pertenece a D. A.A.A. (el denunciado en lo sucesivo). SEGUNDO: Con fecha 10/10/2018 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…Adjunto los cambios realizados en la página web www.ispeak.es, se ha modificado la política de protección de datos, la política de de datos. Adjunto pantallazos de los cambios y espero que con esto este cumpliendo los requisitos solicitados…>> TERCERO: Con fecha 16/10/2018 se accede desde esta Agencia a la política de protección de datos y la política de cookies de la página web del denunciado. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 37.
  3. g)en relación con el 36 la LOPD, y el artículo 43.1 párrafo segundo de la LSSI la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Los hechos expuestos suponen por parte del denunciado una infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
  5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Tipificada como leve en el artículo 44.2
  9. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado” III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  10. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  11. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  12. a)y
  13. b)del citado apartado 6 del artículo 45 de la LOPD. IV Si bien el presente procedimiento se inició antes de la plena aplicación del RGPD (25 de mayo de 2018), en la actualidad todo responsable del tratamiento debe adecuarse a sus previsiones. Razón por la que mediante escrito de fecha 6/07/2018 se remitió una comunicación a fin de que, por parte del denunciado, adecuará la página web a los deberes de información previstos en el art. 13 del RGPD, que indica la información que debe facilitarse al interesado en el momento de la recogida de sus datos, la cual debe presentarse de forma clara y concisa, y que deberá ser la siguiente: •Identidad y datos de contacto del responsable del tratamiento. En su caso, debe proporcionarse también la identidad y datos de su representante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 •Los fines para los que se destinarán los datos personales recogidos. •Qué base, de las recogidas en el artículo 6 del RGPD, legitima el tratamiento de los datos personales. Además, la información deberá contener: •Cuando el tratamiento de los datos se base en la satisfacción de intereses legítimos, debe indicarse también cuáles son estos intereses legítimos del responsable o de un tercero, en virtud de los cuales se realiza el tratamiento. •Cuando la base del tratamiento sea el consentimiento del interesado y la información incluya una solicitud de consentimiento, la solicitud de consentimiento debe distinguirse claramente de otras cuestiones sin que el silencio, las casillas ya marcadas o la inacción constituyan consentimiento. El interesado deberá ser informado de la finalidad para la que se solicita el consentimiento y de las categorías de datos que se recogerán y se tratarán para esa finalidad. Si el consentimiento se solicita para varias finalidades se deberá permitir a los interesados que presten su consentimiento por separado para cada uno de tales fines. Así mismo se debe informar al interesado de su derecho a retirar el consentimiento en cualquier momento. •El plazo durante el cual se conservarán los datos personales. De no ser esto posible, los criterios utilizados para determinar ese plazo. •El derecho del interesado a solicitar al responsable del tratamiento el acceso a sus datos personales, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos. También el derecho a presentar una reclamación ante la Autoridad de Control. Adicionalmente se deberá facilitar al interesado la siguiente información: •Si está prevista la cesión de los datos personales recogidos, se debe detallar quiénes serán los destinatarios o las categorías de destinatarios de estos datos. •Si el interesado tiene una obligación legal o contractual de facilitar sus datos, o si se trata de un requisito necesario para suscribir un contrato, o si el interesado está obligado a facilitar los datos personales. Así mismo, en tales casos, debe informarse de las posibles consecuencias de no facilitar tales datos. •En caso de que se cuente con un delegado de protección de datos, deben facilitarse los datos de contacto de éste. •Si se adoptaran decisiones automatizadas, incluida la elaboración de perfiles, debe informarse de la existencia de estas decisiones y dar información significativa sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas de dicho tratamiento para el interesado. •Si existiera la intención de transferir datos personales a terceros países, se debe informar al interesado de la existencia de decisiones de adecuación, garantías, normas corporativas vinculantes o situaciones específicas aplicables. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En definitiva, si bien se acredita el incumplimiento de lo dispuesto en el art. 5 de la LOPD, idénticas consideraciones se deducen de la observancia por parte del denunciado, de las obligaciones previstas en el art. 13 del RGPD. V Así mismo los hechos expuestos suponen la comisión, por parte del denunciado de una infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) que dispone: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” La citada infracción se encuentra tipificada como leve en el artículo 38.4.
  14. g)de dicha norma, que califica como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” VI El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  15. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  16. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  17. a)y
  18. b)del citado apartado 2 del artículo 39 bis. Así las cosas, teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo del presente procedimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00262/2018) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción de su artículo 5, tipificada como leve en el artículo 44.2.
  19. c)de la LOPD y actualmente el art. 13 del RGPD; Así como con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, con relación a la denuncia por infracción de los artículos 22.2 de la LSSI, tipificada como leve en el artículo 38.4
  20. g)de dicha norma. 2.- NOTIFICAR el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.