A-00313-2014

1/10 Procedimiento Nº: A/00313/2014 RESOLUCIÓN: R/00412/2015 En el procedimiento A/00313/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A. (DEADPLAYERS), vista la denuncia presentada por D. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20 de noviembre de 2013 tiene entrada en esta Agencia un escrito de D. B.B.B. (en lo sucesivo el denunciante) en el que declara que el sitio “deadplayers.es” solicita datos personales para su registro y para la realización de compras sin la debida adaptación a la Ley de Protección de Datos y sin inscripción de los ficheros en la Agencia. No aporta ninguna documentación ni evidencias. No manifiesta haber facilitado sus datos o encontrarse afectado por alguna circunstancia. Con fecha 17/12/2013 se comprueba que la política de privacidad publicada en la web no informa de los derechos ARCO ni identifica claramente al Responsable del fichero. Sí aparece un enlace de contacto “contacta con DeadPlayers”. SEGUNDO: A la vista de los hechos denunciados por los Servicios de Inspección de esta Agencia se realizan actuaciones previas, solicitando información al denunciado D. A.A.A., teniendo conocimiento de los siguientes hechos:

1. a)Se verifica que en fecha 18/02/2014 se ha incluido el siguiente párrafo en la política de privacidad publicada en deadplayers.es: “Ponemos a su disposición el correo electrónico ...@.... para tramitar accesos, derechos de rectificación y cancelación y derecho de oposición”
2. b)Se comprueba en el registro de dominios de Internet la titularidad del dominio deadplayers.es, remitiendo con fecha 10/03/2014 un requerimiento de información a la persona que figura como titular, recibiendo la siguiente respuesta: “[…] Que ese sitio web se encuentra alojado en el servicio de hosting (alojamiento web) llamado ENJIN.COM; del que obviamente el que suscribe no es titular. DEADPLAYERS.ES permite el acceso a cualquier usuario registrado en ENJIN.COM, pero no tiene información alguna sobre esos datos ni acceso a los mismos ni los almacena. Los únicos datos que DEADPLAYERS.ES almacena son los de aquellas personas que, tras haber accedido a través de ENJIN.COM, efectúan compras en DEADPLAYERS.ES. Se recoge únicamente el nombre y la dirección y, con carácter facultativo, el DNI/NIF. Esos datos se recogen únicamente a efectos de cumplimiento de la normativa fiscal, y no se encuentran organizados por sistema C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 alguno. Los pagos se realizan a través de PAY PAL, PAYMENTWALL y/o GOOGLE WALLET, por lo que no tenemos datos de tarjetas de débito o crédito, ni de números de cuenta, ni datos bancarios de ningún tipo. 3.- Por lo que se refiere al número de usuarios: 3.1.- Los meros usuarios, como ya hemos dicho, no se registran en DEADPLAYERS.ES, sino en la página ENJIN.COM, que nos presta servicio de hosting. No podemos determinar el número de usuarios porque lo desconocemos. 3.2.- Tampoco conocemos el número de los usuarios que deciden efectuar alguna compra en DEADPLAYERS.ES, a los que, como ya hemos indicado, sí se solicita algunos datos, ya que no se trata de un fichero organizado, en el que se creen grupos de compra por usuarios. Simplemente, con cada compra se almacenan los datos de la persona que la ha realizado, por lo que no puedo dar un número exacto. El volumen de compras durante el ejercicio 2.013 fue de 3.032 compras, por importe de entre 5 ó 10 euros cada una de ellas, sin contar las devoluciones efectuadas. 4.- DEADPLAYERS.ES carece de dato alguno sobre B.B.B., si bien el que suscribe lo conoce personalmente, porque junto con otras personas propietarias o copropietarias de los dominios POINTGAMES.ES, MINEYS.ES, DEEIZU.COM y similares está orquestando contra el que suscribe y contra mi página web una campaña de acoso con injurias, amenazas, etc.... Esas páginas, por cierto, utilizan un mecanismo de funcionamiento similar al de DEADPLAYERS. ES. 6.- Finalmente, adjunto también captura de pantalla en la que consta la inscripción del fichero en esa Agencia con código N********.” Adjunta la impresión de la política de privacidad del sitio web, al que se puede acceder a través del siguiente link: htpp://www.deadplayers.es/privacy: “Política de privacidad Marzo 09, 2014 Su privacidad es muy importante para nosotros. En consecuencia, hemos desarrollado esta Política para que usted pueda entender cómo recopilamos, usamos, comunicamos y divulgamos el uso de la información personal. A continuación se detalla nuestra política de privacidad. Antes o en el momento de recoger información personal, identificaremos los fines para los que está siendo recopilada. Vamos a recoger y utilizar la información personal únicamente con el objetivo de cumplir con los fines especificados por nosotros y para otros fines compatibles, a menos que obtengamos el consentimiento de la persona en cuestión o de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 requerido por la ley. Sólo se conservarán los datos personales durante el tiempo necesario para el cumplimiento de dichos fines. Nosotros recogemos información personal por medios legítimos y justos y, en su caso, con el conocimiento o consentimiento de la persona afectada. Los datos personales deben ser pertinentes a los fines para los que se va a utilizar, y, en la medida necesaria para esos fines, debe ser precisa, completa y actualizada a la fecha. Vamos a proteger la información personal con garantías razonables de seguridad contra pérdida o robo, así como el acceso no autorizado, revelación, copia, uso o modificación. Vamos a poner a disposición de los clientes información acerca de nuestras políticas y prácticas relativas a la gestión de información personal. Ponemos a disposición el correo electrónico ...@.... para tramitar accesos, derechos de rectificación y cancelación y derecho de oposición. Estamos comprometidos a llevar a cabo nuestro negocio de acuerdo con estos principios con el fin de garantizar que la confidencialidad de la información personal está protegida y mantenida. […]”
3. c)Se ha comprobado que en fecha 18/03/12014 se ha inscrito en el RGPD un fichero, titularidad del denunciado.
4. d)También, en fecha 18/07/2014 se ha comprobado el cambio en la política de privacidad de la página web denunciada, sustituyendo el párrafo: “Ponemos a disposición el correo electrónico ...@.... para tramitar accesos, derechos de rectificación y cancelación y derecho de oposición” por el siguiente: “Para ejercitar los derechos de oposición, acceso, rectificación y cancelación, puede contactar con nosotros en la dirección (C/...........1), Castellón (Centro de negocios OFIESPAI) o bien mediante correo electrónico en la dirección: ...@..... En ambos casos es necesario adjuntar una copia del DNI. También se añade en el pie de la página: “Contacta con DeadPlayers, Email de contacto: ...@...., Copyright © 2014 Deadplayers.es” TERCERO: Con fecha 6 de noviembre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00313/2014. Dicho acuerdo fue notificado al denunciante y al denunciado, sin que se haya recibido escrito de alegación alguno frente al mismo. CUARTO: Con fecha 27/02/2015 se accede desde esta Agencia a la página web de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 deadplayers.es, obteniendo copia de las cláusulas de política de privacidad, así como de los términos y condiciones. HECHOS PROBADOS PRIMERO: Con fecha de 20 de noviembre de 2013 tiene entrada en esta Agencia un escrito de D. B.B.B. (en lo sucesivo el denunciante) en el que declara que el sitio “deadplayers.es” solicita datos personales para su registro y para la realización de compras sin la debida adaptación a la Ley de Protección de Datos y sin inscripción de los ficheros en la Agencia. No aporta ninguna documentación ni evidencias. No manifiesta haber facilitado sus datos o encontrarse afectado por alguna circunstancia. Con fecha 17/12/2013 se comprueba que la política de privacidad publicada en la web no informa de los derechos ARCO ni identifica claramente al Responsable del fichero. Sí aparece un enlace de contacto “contacta con DeadPlayers” (folios 1 y 2) SEGUNDO: Durante las actuaciones previas se adjunta la impresión de la política de privacidad del sitio web, al que se puede acceder a través del siguiente link: htpp://www.deadplayers.es/privacy: “Política de privacidad Marzo 09, 2014 Su privacidad es muy importante para nosotros. En consecuencia, hemos desarrollado esta Política para que usted pueda entender cómo recopilamos, usamos, comunicamos y divulgamos el uso de la información personal. A continuación se detalla nuestra política de privacidad. Antes o en el momento de recoger información personal, identificaremos los fines para los que está siendo recopilada. Vamos a recoger y utilizar la información personal únicamente con el objetivo de cumplir con los fines especificados por nosotros y para otros fines compatibles, a menos que obtengamos el consentimiento de la persona en cuestión o de lo requerido por la ley. Sólo se conservarán los datos personales durante el tiempo necesario para el cumplimiento de dichos fines. Nosotros recogemos información personal por medios legítimos y justos y, en su caso, con el conocimiento o consentimiento de la persona afectada. Los datos personales deben ser pertinentes a los fines para los que se va a utilizar, y, en la medida necesaria para esos fines, debe ser precisa, completa y actualizada a la fecha. Vamos a proteger la información personal con garantías razonables de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 seguridad contra pérdida o robo, así como el acceso no autorizado, revelación, copia, uso o modificación. Vamos a poner a disposición de los clientes información acerca de nuestras políticas y prácticas relativas a la gestión de información personal. Ponemos a disposición el correo electrónico ...@.... para tramitar accesos, derechos de rectificación y cancelación y derecho de oposición. Estamos comprometidos a llevar a cabo nuestro negocio de acuerdo con estos principios con el fin de garantizar que la confidencialidad de la información personal está protegida y mantenida. […]” (folio 26). TERCERO: Con fecha 27/02/2015 se accede desde esta Agencia a la página web de deadplayers.es, obteniendo copia de la cláusula de política de privacidad donde se recoge actualmente: <<…Política de privacidad Agosto 31, 2014 Su privacidad es muy importante para nosotros. En consecuencia, hemos desarrollado esta Política para que usted pueda entender cómo recopilamos, usamos, comunicamos y divulgamos el uso de la información personal. A continuación se detalla nuestra política de privacidad. Antes o en el momento de recoger información personal, identificaremos los fines para los que está siendo recopilada. Vamos a recoger y utilizar la información personal únicamente con el objetivo de cumplir con los fines especificados por nosotros y para otros fines compatibles, a menos que obtengamos el consentimiento de la persona en cuestión o de lo requerido por la ley. Sólo se conservarán los datos personales durante el tiempo necesario para el cumplimiento de dichos fines. Nosotros recogemos información personal por medios legítimos y justos y, en su caso, con el conocimiento o consentimiento de la persona afectada. Los datos personales deben ser pertinentes a los fines para los que se va a utilizar, y, en la medida necesaria para esos fines, debe ser precisa, completa y actualizada a la fecha. Vamos a proteger la información personal con garantías razonables de seguridad contra pérdida o robo, así como el acceso no autorizado, revelación, copia, uso o modificación. Vamos a poner a disposición de los clientes información acerca de nuestras políticas y prácticas relativas a la gestión de información personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Para ejercitar los derechos de oposición, acceso, rectificación y cancelación, puede contactar con nosotros en la dirección (C/...........1), Castellón (Centro de negocios OFIESPAI) o bien mediante correo electrónico en la dirección: ...@..... En ambos casos es necesario adjuntar una copia del DNI. Estamos comprometidos a llevar a cabo nuestro negocio de acuerdo con estos principios con el fin de garantizar que la confidencialidad de la información personal está protegida y mantenida…>> (folios 60). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II En el caso que nos ocupa se denunciaba que el denunciado a través de su página web recababa datos personales que podrían estar suponiendo una vulneración del art. 5 LOPD. Dicho art. 5 de la LOPD establece “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: “Art. 5 Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La obligación que impone el art. 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el art. 5 transcrito, el denunciado debe dar a sus clientes la información prevista en el art. 5.1 de la LOPD, y debe suministrarse a los clientes previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En el caso que nos ocupa, se denunciaba que, en la página web del denunciado, se recababan datos de contacto de los usuarios sin clausula donde se informe de su tratamiento, uso, destino ni de nada relacionado con la Ley de Protección de Datos. Tras realizarse las correspondientes comprobaciones, se determinó que, en la página web se recababan datos personales sin que se hiciera referencia a las previsiones del art. 5 LOPD, en la medida en que no recogía, la finalidad del tratamiento, ni el nombre del responsable del tratamiento, ni la dirección ante la que ejercitar los derechos de acceso, rectificación, cancelación y oposición etc. En consecuencia, por parte del Director de esta Agencia se acordó someter a trámite de audiencia previa al apercibimiento al denunciado por una infracción del art. 5 LOPD, concediendo un plazo de quince días para presentar alegaciones, transcurrido el cual, no consta que, por parte del denunciado, se hayan presentado alegaciones. En fecha 27 de febrero de 2015 se tiene acceso a la página web del denunciado pudiendo comprobarse que se ha cambiado la política de privacidad de la misma. En el caso que nos ocupa, la cláusula informativa recogida por la página web del denunciado no informa de la identidad del responsable del fichero ni de las finalidades en la recogida de los datos personales que recaba. Por tanto, en este caso, procede apercibir al denunciado por una infracción del art. 5 de la LOPD, y se va a requerir para que modifique la cláusula de privacidad que tiene en la página web, incorporando la información sobre el responsable del fichero y las finalidades para las que se recogen los de datos personales. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 El artículo 44.2.
11. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, el denunciado ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
14. a)y
15. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00313/2014) a D. A.A.A. (DEADPLAYERS) con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
16. c)de la citada Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a D. A.A.A. (DEADPLAYERS) de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a que modifique la cláusula de privacidad de la página web, incorporando la información sobre el responsable del fichero y las finalidades para la que se recogen datos de sus clientes. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando la política de privacidad publicada en la web en la que se recoja las modificaciones recogidas en el punto anterior, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/1309/2015, podría incurrir en una infracción del artículo 37.1.
17. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
18. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
19. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a D. A.A.A. (DEADPLAYERS). 4.- NOTIFICAR el presente Acuerdo a D. B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es