A-00367-2017

1/8 Procedimiento Nº: A/00367/2017 RESOLUCIÓN: R/03409/2017 En el procedimiento A/00367/2017, instruido por la Agencia Española de Protección de Datos a la entidad PERRONATURA, S.L.., vista la denuncia presentada por A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de diciembre de 2016 tiene entrada en esta Agencia una denuncia presentada por A.A.A. (en lo sucesivo, el denunciante), en la que manifiesta, respecto de la página web www.perronatura.es lo siguiente: La página web no dispone de aviso legal ni ningún dato sobre la titularidad de la misma. No tiene botón de aceptación de protección de datos. En el aviso legal no figura el titular del fichero ni como ejercitar los derechos de protección de datos de carácter personal. Y, entre otra, anexa la siguiente documentación: • Impresión de pantalla de algunas páginas de la web www.perronatura.es , incluyendo la de contacto y recogida de datos de dirección de envío y facturación, así como la Política de Privacidad. • Correo electrónico remitido por la entidad denunciada con los datos del pedido realizado. SEGUNDO: Tras la recepción de la denuncia, por los Servicios de Inspección se practican diligencias, teniendo conocimiento de lo siguiente:

1. Se ha verificado por la inspección de datos que la página web www.perronatura.es es un sitio de venta online de comida para perros y gatos. Dispone de un formulario de contacto que solicita la introducción de nombre, email y mensaje. El denunciante aporta copia impresa del formulario que, durante el proceso de pago, solicita los datos de dirección de facturación y envío. No consta la existencia de control de la aceptación de las condiciones generales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 ni de la política de privacidad.
2. Se ha verificado con fecha 27 de diciembre de 2016 que en el pie de la página web www.perronatura.es figuraba un enlace denominado “Política de privacidad” y contenía la siguiente información en relación con el tratamiento de datos de carácter personal: “PerroNatura declara su respeto y cumplimiento de las disposiciones recogidas en la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal y el cumplimiento de las previsiones legales contenidas en el Real Decreto 994/1999, de 11 de junio, relativo a las medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, a cuyos efectos ha establecido todos los medios técnicos a su alcance para evitar la pérdida, mal uso, alteración, acceso no autorizado y apropiación indebida de los datos que Ud. facilite a este grupo, sin perjuicio de que las medidas de seguridad en Internet no sean inexpugnables. Por todo ello, le informa de su política de protección de datos, para que Ud. determine voluntariamente si desea facilitar sus datos personales a PerroNatura. Le informa igualmente de que los datos de carácter personal que Ud. facilite en el formulario dispuesto a los efectos en la página web ubicada en la dirección de Internet www.perronatura.es se recogerán en un fichero automatizado de datos de carácter personal que quedará bajo la responsabilidad de esta organización. Para integrar sus datos en el fichero de PerroNatura se necesita su consentimiento previo, que podrá prestar mediante la aceptación de esta política de privacidad, eligiendo la opción HE LEÍDO Y ACEPTO LAS CONDICIONES que se presenta antes de cada formulario de solicitud de datos. Los datos que Ud. facilita tienen como finalidad poder ser utilizados para el desarrollo de cualesquiera de las actividades propias de esta sociedad, así como para actividades de promoción de sus productos, campañas y newsletter. Ud. tendrá la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición de sus datos personales que obran en los ficheros de PerroNatura, así como de las comunicaciones que se hayan producido con respecto a sus datos, solicitándolo por cualquier medio que deje constancia de su envío y de su recepción. …”
3. Se ha requerido por la inspección de datos a PERRONATURA, S.L.. información sobre el procedimiento establecido por la entidad para informar a los usuarios de la página web www.perronatura.es sobre la finalidad y derechos respecto al tratamiento de los datos de carácter personal, teniendo entrada con fecha 6 de junio de 2017 un escrito que aporta copia de las condiciones generales y política de privacidad de dicha página web. La política de privacidad contiene el mismo literal que el verificado por la inspección de datos con fecha 27 de diciembre de
5. Con fecha 28 de septiembre de 2017 se ha verificado por la inspección de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 que en el pie de la página web www.perronatura.es figura un enlace denominado “Protección de Datos y Política de privacidad” y contiene la siguiente información en relación con el tratamiento de datos de carácter personal: “
6. INFORMACIÓN GENERAL. PERRONATURA cumple con el deber de información recogido en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de la Ley Orgánica y demás normativa vigente en cada momento, y vela por garantizar un correcto uso y tratamiento de los datos personales del usuario. PERRONATURA informa al USUARIO de que todos los datos de carácter personal que proporcione a PERRONATURA a través de determinados espacios y/o formularios web serán incorporados a ficheros, creados y mantenidos bajo la responsabilidad de PERRONATURA. Conforme al artículo 14.2 del Real Decreto 1720/2007, de 21 de diciembre, se establece un plazo de treinta días para que el USUARIO manifieste su negativa al tratamiento, en el supuesto de no realizar dicha manifestación, se entenderá que consiente el tratamiento de sus datos de carácter personal.
7. DATOS QUE SE RECOGEN. PERRONATURA recogerá únicamente los datos que posibiliten un acceso y servicio de los USUARIOS con garantías. Asimismo, en el proceso de compra de los artículos puestos a disposición y venta en la web. Por ello, los datos que se recogen son los necesarios para poder realizar los envíos de los artículos adquiridos: • Nombre y apellidos. • Domicilio. • Población. • Código Postal. • Teléfono de contacto. • Correo electrónico. • Número de tarjeta de crédito/débito para realizar las compras mediante sistema de TPV electrónico o cuenta de PayPal. 3.- FINALIDADES DE USO. 3.1.- Los datos de carácter personal recogidos en el sitio web, serán utilizados con la finalidad de atender, gestionar y procurar una mejor experiencia a los usuarios, y con ello dar alcance a: • Atención de solicitudes de información. • La realización de tareas administrativas asociadas a usuarios web. • Con carácter general, para los datos de contacto, a acciones publicitarias, comerciales y promocionales personalizados. • Boletines (newsletter). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 • Cualquier otra comunicación que PERRONATURA entienda interesante para el USUARIO y que esté relacionado con los fines sociales. 3.2.- La aceptación de la política de privacidad supone un consentimiento expreso del USUARIO sobre el tratamiento de los datos de carácter personal enunciados en este apartado, así como para la cesión de sus datos a terceros con los que PERRONATURA tenga acuerdos de colaboración (empresas de mensajería, entidades bancarias, etc). No se hará uso de los datos personales para fines publicitarios sin consentimiento expreso sobre los mismos. Esta aceptación siempre tendrá carácter revocable. El Responsable del Sitio Web y de los Datos pondrá mecanismos, lo más sencillos y gratuitos posibles, para tal efecto, en sus comunicaciones (emails o boletines). 3.3.- Todos los datos recogidos y almacenados de los USUARIOS son los adecuados y pertinentes para PERRONATURA y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. … EJERCICIO DE LOS DERECHOS ARCO El motivo de incluir este apartado está orientado a poder mejorar la comunicación y ayudar a la gestión de la solicitud de ejercicio de derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) tal y como estable la LOPD. .- Derecho de Acceso: La persona legitimada para ejercer el Derecho de Acceso debe ser el sometido al tratamiento, con el ejercicio de su derecho se le comunicarán los datos que se han almacenado de usted derivados de los formularios, comunicaciones y relaciones comerciales que pudieran establecerse entre las partes. .- Derecho de Rectificación: El interesado puede ponerse en contacto para que pueda notificarnos, de forma fehaciente, los datos que no se corresponda con su persona, o aquellos que quiere que se rectifiquen o modifiquen para tal efecto. .- Derecho de Cancelación: En el caso de que el USUARIO quiera que sean borrados o cancelados los datos que se han almacenado del mismo, derivados de los formularios, comunicaciones o relaciones comerciales establecidas entre las partes. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. .- Derecho de Oposición: Para delimitar las finalidades u uso de los datos del USUARIO, para las cuales otorgó su consentimiento, acercar, que las comunicaciones comerciales, publicitarias o informativas (boletines) tienen una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 funcionalidad que permiten el ejecutar el derecho de oposición de forma directa. Procedimiento para ejercitar los DERECHOS ARCO: En el artículo 25 se establece el procedimiento a la hora de ejercitarlo mediante comunicación dirigida al Responsable del Fichero, que contendrá: • Nombre y Apellidos del USUARIO. • Fotocopia de DNI o documento equivalente, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de la firma electrónica identificativa del afectado eximirá de la presentación de la fotocopias del DNI o documento equivalente, petición en que se concreta la solicitud, dirección a efectos de notificaciones, fecha y firma del solicitante, documentos acreditativos en la petición que formula, en su caso. • Petición en que se concreta la solicitud. • Dirección a efectos de notificaciones, fecha y firma del solicitante. • Documentos acreditativos de la petición que formula, en su caso. Correo ordinario: Si se desea realizar por correo postal, la información requerida en el punto anterior debe ser enviada a la dirección siguiente: Perronatura SL (C/...1) Correo electrónico: En el supuesto de que se escogiese por utilizar el correo electrónico, la información requerida debe ser enviada a con el asunto “UNIDAD ARCO” a la dirección siguiente: info@perronatura.es Información adicional: De acuerdo con el art. 17 de la LOPD 15/1999 donde se determinan que los procedimientos para ejercitar los derechos de opción y acceso, así como los de rectificación y cancelación (ARCO) serán establecidos reglamentariamente. En el art. 24, del reglamento 1720/2007 que desarrolla la LOPD, se establecen las condiciones generales para el ejercicio de los derechos ARCO. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de alguno de ellos sea requisito previo para el ejercicio de otro.” TERCERO: Con fecha 16 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00367/2017 a PERRONATURA, S.L.., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de su artículo 5, tipificada como leve en el artículo 44.2 c) FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
8. g) en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a PERRONATURA, S.L. la comisión de la infracción del art. artículo 5 de la LOPD que señala:
9. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” tipificada como leve en el artículo 44.2 c) de dicha LOPD III El artículo 45.6 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Teniendo en cuenta que en el presente supuesto se cumplen los requisitos recogidos en los apartados a) y b) del citado apartado 6, por lo que es conforme a derecho la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 tramitación del presente procedimiento de apercibimiento. IV En el presente caso, tras la práctica de las diligencias de inspección referenciadas en el antecedente segundo ( punto 2.4) de la presente resolución, se ha verificado que PERRONATURA, S.L.., ha introducido cambios en la página web de la que es responsable informando del tratamiento de datos en los términos previstos en el art. 5 de la LOPD. Por lo expuesto debe tenerse en cuenta que el apercibimiento que correspondería de acuerdo con el artículo 45.6 de la LOPD, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto PERRONATURA, S.L.., ya se ha adaptado a la normativa citada. En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO (A/00367/2017) a PERRONATURA, S.L.., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 5 de la LOPD tipificada como grave en el artículo 44.2 c) de la citada ley orgánica. SEGUNDO.- NOTIFICAR la presente Resolución a PERRONATURA, S.L.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es