← España

A-00281-2017

1/10 Procedimiento Nº: A/00281/2017 RESOLUCIÓN: R/02816/2017 En el procedimiento A/00281/2017, instruido por la Agencia Española de Protección de Datos a la entidad RESTAURANTE D'ALMANSA, vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28/06/2017 tiene entrada en esta Agencia una denuncia presentada por A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta lo siguiente(…)La web ***WEB.1 propiedad del Restaurante D'Almansa en ***LOCALIDAD.1 instala cookies sin consentimiento previo (adjunto captura), además no da posibilidad a decidir si no instalarlas dado que su cartel de aviso dice literalmente (Usamos Cookies - Al usar este sitio o cerrarlo, usted acepta nuestra política de querer que nos instalen cookies lo hacen. Además, no informan del uso de los datos que recogen ni de quien es el titular de la web. (…) SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección de esta Agencia, se practicaron diligencias teniendo conocimiento de lo siguiente: En fecha de 25/07/2017 se accedió al sitio web ***WEB.1 teniendo conocimiento de lo siguiente: 1. Respecto de la titularidad del dominio/pagina web e identidad del Prestador de Servicios: 1.1 Consultada la página web se verifica que es propiedad de RESTAURANTE D ´ALMANSA. 2 Respecto de la información mostrada al acceder sobre el uso de dispositivos de almacenamiento y recuperación de datos (DARD en lo sucesivo), verifica la existencia un mensaje con el siguiente texto: Usamos Cookies - Al usar este sitio o cerrarlo, usted acepta nuestra política de Cookies. 2.1 Respecto de los DARD descargados al acceder, se verifica que a menos que se cierre la banda informativa arriba referenciada, no se instalan DARD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 2.2 una vez aceptada la instalación de DARD, y tras realizar una navegación, se verifica la descarga e instalación de DARD de terceros con finalidad publicitaria. 2.3 Respecto de la información de DARD en una segunda capa: No se ha localizado información en la página web. 3. Respecto de la recogida de datos personales y la información ofrecida sobre el tratamiento de datos realizado: 3.1 Se ha encontrado un formulario de recogida de datos en ***WEB.2 que solicita nombre y teléfono. 3.2 Se verifica la existencia de un enlace permanente denominado PROTECCION DE DATOS ***WEB.3 en el que muestra, entre otra, la siguiente información al acceder: 1Información General ¡Bienvenido a nuestra página de Política de Privacidad! Cuando utiliza nuestros servicios de tienda, confía en nosotros con su información. Esta Política de privacidad está diseñada para ayudarle a comprender qué datos recopilamos, por qué la recopilamos y qué hacemos con ella. Cuando comparte información con nosotros, podemos hacer que nuestros servicios sean aún mejores para usted. (…) 2Derechos ARCO Nuestros clientes tienen derecho a acceder, corregir y borrar datos personales relacionados con ellos, ya oponerse al tratamiento de dichos datos, mediante solicitud escrita, en cualquier momento. (…) 3Mantenimiento de los Datos Personales Puede ver o editar sus datos personales en línea para muchos de nuestros servicios. También puede tomar decisiones acerca de nuestra recopilación y uso de sus datos. La forma en que puede acceder o controlar sus datos personales dependerá de los servicios que utilice. Puede elegir si desea recibir comunicaciones promocionales de nuestra tienda por correo electrónico, SMS, correo físico y teléfono. Si recibe correo electrónico promocional o mensajes SMS de nosotros y desea retirarse, puede hacerlo siguiendo las instrucciones de ese mensaje. También puede tomar decisiones acerca de la recepción de correos electrónicos promocionales, llamadas telefónicas y correo postal visitando y conectándose al Administrador de comunicaciones promocionales de la empresa, que le permite actualizar la información de contacto, administrar las preferencias de contacto, optar por las suscripciones por correo electrónico y elegir si desea (…) 4Información que recopilamos Nuestra tienda recopila datos para operar eficazmente y ofrecerle las mejores experiencias con nuestros servicios. Proporciona algunos de estos datos directamente, como cuando crea una cuenta personal. Obtenemos algunos de ellos grabando cómo interactúa con nuestros servicios, por ejemplo, utilizando tecnologías como las cookies y recibiendo informes de errores o datos de uso del software que se ejecuta en su dispositivo. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 5Como utilizamos su información Nuestra web usa los datos que recopilamos para tres propósitos básicos: operar nuestro negocio y proveer (incluyendo mejorar y personalizar) los servicios que ofrecemos, enviar comunicaciones, incluyendo comunicaciones promocionales y mostrar publicidad. (…) Por ejemplo, almacenamos los datos que recopilamos de usted cuando no está autenticado (no iniciado sesión) por separado de cualquier información de cuenta que le identifique directamente, como su nombre, dirección de correo electrónico o número de teléfono. 6Compartir su información Compartimos sus datos personales con su consentimiento o según sea necesario para completar cualquier transacción o proporcionar cualquier servicio que haya solicitado o autorizado. Por ejemplo, compartimos su contenido con terceros cuando usted nos dice que lo hagamos. Cuando proporcione datos de pago para realizar una compra, compartiremos los datos de pago con bancos y otras entidades que procesen transacciones de pago u ofrezcan otros servicios financieros y para la prevención del fraude y la reducción del riesgo de crédito. Además, compartimos datos personales entre nuestras filiales controladas y subsidiarias. También compartimos datos personales con vendedores o agentes que trabajan en nuestro nombre para los fines descritos en esta declaración. (…) 3.3 No se ha localizado información relativa al responsable del fichero dónde se almacenan los datos, la finalidad del tratamiento que se realiza al recoger los datos, la posibilidad de oponerse a tratamiento de datos no necesarios para la prestación del servicio, ni la identidad de los cesionarios de los datos. TERCERO: Con fecha 4/08/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00281/2017 a RESTAURANTE D'ALMANSA con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI y articulo 45.6 de la LOPD, con relación a la denuncia por infracción de los artículos 22.2 de la LSSI, tipificada como leve en el artículo 38.4

  1. g)de dicha norma y por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
  2. c)de la LOPD. CUARTO: Con fecha 05/09/2017 se recibe en esta Agencia escrito del denunciado en el que comunica que se ha mejorado el aviso de cookies, especificando que si el usuario navega por la página supone la aceptación de las mismas, y se muestra información sobre como configurar el navegador para impedir que se instalen cookies, y se introducen enlaces permanentes a la política de cookies y privacidad. Asimismo se ha modificado el formulario de reservas incluyendo una política de privacidad relativa al tratamiento de datos que es necesario aceptarla, incluyendo la posibilidad del ejercicio de los derechos arco. QUINTO: Con fecha de 11/09/2017 por el Instructor del procedimiento se accedió al sitio web denunciado verificándose los cambios introducidos en la misma que coinciden con lo manifestado por RESTAURANTE D'ALMANSA en su escrito de alegaciones. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 I De conformidad con lo establecido en el artículo 43 y 39 de la LSSI y en los artículos 36 y 37.a),
  3. f)y
  4. n)y 45.6 de la LOPD, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente caso se atribuye a RESTAURANTE D'ALMANSA la comisión de la infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” En relación con el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal ( RDLOPD en adelante) que bajo la rúbrica “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” dispone lo siguiente: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. En el momento de realizar las verificaciones iniciales, no se localizó información relativa al responsable del fichero dónde se almacenan los datos, la finalidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 tratamiento que se realiza al recoger los datos, la posibilidad de oponerse a tratamiento de datos no necesarios para la prestación del servicio, ni la identidad de los cesionarios de los datos. Conducta que se encuentra tipificada como infracción leve en el artículo 44.2
  10. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ Sin embargo, tras la formulación de alegaciones, se verifico la existencia de información relativa al tratamiento de datos que lleva aparejado la inscripción en el formulario de reserva, y se constató que en el momento de dicho registro existía un medio para ejercer los derechos ARCO, entre los que debe destacarse el derecho a mostrar la negativa al tratamiento de datos, a través de la dirección de correo electrónico que permite cumplir lo dispuesto en el art. 15 del RDLOPD ( consentimiento para el tratamiento de datos no necesarios para el desarrollo de la relación contractual), al realizarse la recogida de datos de forma electrónica, es decir, a través de un formulario en una página web. III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  12. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
  13. a)y
  14. b)del citado apartado 6 del artículo 45 de la LOPD, estimándose conforme a derecho la tramitación del presente procedimiento de apercibimiento. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Asimismo, se atribuye a RESTAURANTE D'ALMANSA la comisión de una infracción del artículo 22.2 de la LSSI que dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 consentimiento sobre su uso. La primera exención requiere que la utilización de las red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. En el momento de realizar las verificaciones iniciales se constató que la página web, al acceder no informaba de la descarga e instalación de DARD de terceros con finalidad publicitaria. Asimismo no existía información en una segunda capa. Es decir, se descargaban e instalaban en los terminales de los usuarios DARD no exentos del deber de obtener el consentimiento del usuario con carácter previo a su instalación. Por todo ello, no podía entenderse por parte de los usuarios de la prestación de un consentimiento informado para la descarga e instalación de dispositivos de almacenamiento y recuperación de datos. Conducta que se encuentra tipificada como infracción leve en el artículo 38.4.
  15. g)de la LSSI que señala como tal Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2. V El Anexo de la LSSI define en su apartado
  16. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  17. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 de la Información a RESTAURANTE D´ALMANSA como responsable de la página web y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. VI En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que tras el trámite de audiencia previa, RESTAURANTE D'ALMANSA, modificó la información que ofrecía en la página web respecto de la instalación de dispositivos de almacenamiento y recuperación de datos cumpliendo con el mandato del art. 22.2 de la LSSI. VII El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  18. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  19. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 En el presente supuesto se cumplen los requisitos recogidos en las letras
  20. a)y
  21. b)del citado apartado 2 del artículo 39 bis, estimándose conforme a derecho la tramitación del presente procedimiento de apercibimiento. VIII Finalmente, debe analizarse en el presente caso la circunstancia de que el apercibimiento que correspondería de acuerdo con el artículo 39 bis 2 LSSI, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto ya ha adaptado su página web a la normativa citada. En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD – de análoga finalidad que el previsto en la LSSI- y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO (A/00281/2017) a RESTAURANTE D'ALMANSA, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD y con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, por la denuncia interpuesta en relación con la vulneración de los artículos 5 de la LOPD y 22.2 de la LSSI. SEGUNDO.- NOTIFICAR la presente Resolución a RESTAURANTE D'ALMANSA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.