← España

A-00370-2016

1/11 Procedimiento Nº: A/00370/2016 RESOLUCIÓN: R/00882/2017 En el procedimiento A/00370/2016, instruido por la Agencia Española de Protección de Datos a la entidad SIBARUM SITGES, S.L., vista la denuncia presentada por PATRICIA CUPCAKES & PATISSERIE, S.L., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23 de mayo de 2016 tiene entrada en esta Agencia un escrito de PATRICIA CUPCAKES & PATISSERIE SL, en adelante la denunciante, en el que en relación con el sitio web www.sibarum.com, manifiesta que:  No hay información sobre la utilización de Dispositivos de Almacenamiento o Recuperación de Datos  Se recogen datos de carácter personal pero no se proporciona la información prevista en el artículo 5 de la LOPD.  Se recogen datos de carácter personal pero no hay ficheros inscritos en el Registro General de Protección de Datos. Y anexa la siguiente documentación:  Capturas de pantalla de la navegación por el sitio web denunciado que evidencian la recogida de datos de carácter personal. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes hechos: 1. Con fecha 30 de mayo de 2016, se constata que el sitio web denunciado pertenece a SIBARUM SITGES, S.L. (en lo sucesivo SIBARUM). 2. En la misma fecha se constata que no existen ficheros registrados en el RGPD a nombre de la entidad denunciada. 3. En la misma fecha se constata que el sitio web denunciado recoge datos de carácter personal. Los datos son: a. Nombre b. Correo electrónico c. Teléfono 4. Se constata que no existe política de privacidad. 5. En la misma fecha se constata la venta de productos/promoción de servicios/anuncios. 6. En la misma fecha se constata que el sitio web denunciado utiliza DARD con las siguientes finalidades:  Analítica web de tercera parte 7. En la misma fecha se constata que el sitio web denunciado no incluye ninguna información relativa a la utilización de DARD y no incluye un enlace que haga referencia a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 la política de cookies. TERCERO: Con fecha 21/11/2016, la Directora de la Agencia Española de Protección de Datos acordó someter a la entidad SIBARUM a trámite de audiencia previa, en relación con la denuncia por infracción de los artículos 5 y 26 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como leves en los artículos 44.2.

  1. c)y 44.2.b), respectivamente, de la citada Ley Orgánica; y artículo 22.2 de la 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
  2. g)de la mencionada Ley. CUARTO: Con fecha 09/12/2016 se recibe en esta Agencia escrito de la denunciada en el que comunica que ha procedido a informar a través de la web sobre la utilización de cookies. En relación con la recogida de datos personales, advierte que al realizar la web con el proveedor 1&1 no tenían conocimiento de ello, comprometiéndose a realizar todos los trámites necesarios para cumplir con lo dispuesto en el artículo 5 de la LOPD. QUINTO: Con fecha 23/03/2017, por la Subdirección General de Inspección de Datos se accede al Registro General de Protección de Datos, comprobando que no figura inscrito ningún fichero cuya titularidad corresponda a la entidad SIBARUM. Por otra parte, se intenta acceder al sitio web www.sibarum.com, siendo redirigido al sitio www.sibarumcatering.com, constatando que dicha página no incluye ningún documento relativo a la Política de Privacidad. Asimismo, se comprueba que dicha página incluye un formulario de contacto mediante el que se recaba de los usuarios datos personales relativos a nombre, dirección de correo electrónico y teléfono. Se desplaza la página y se localiza, al pie de la misma la siguiente leyenda informativa: “Utilizamos cookies propias y de terceros para analizar y medir la navegación de nuestros usuarios y mejorar su experiencia en nuestra web. Si continúas navegando, consideramos que aceptas su uso”. No consta ningún aviso de segunda capa. En la misma fecha se constata que el sitio web denunciado utiliza los mismos dispositivos de almacenamiento y recuperación de datos (DARD) que constan reseñados en el informe de actuaciones previas, incluido un DARD persistente de tercera parte, vinculado al dominio .amung.us y con finalidad analítica al que se refiere el acuerdo de apertura del procedimiento. HECHOS PROBADOS 1. La entidad SIBARUM es responsable del sitio web www.sibarumcatering.com, anteriormente www.sibarum.com. Dicha página no incluye ningún documento o información relativa a la Política de Privacidad. 2. La web www.sibarumcatering.com dispone de un formulario de contacto mediante el que se recaba de los usuarios datos personales relativos a nombre, dirección de correo electrónico y teléfono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 3. Con fecha 30/05/2016, por los Servicios de Inspección de la Agencia Española de Protección de Datos se accedió al reseñado sitio web verificándose la descarga e instalación del siguiente DARD persistente de tercera parte no exentos del deber de informar previamente a su instalación: . DARD vinculado al dominio “.amung.us” y con finalidad analítica. 4. Con fecha 23/03/2017, se comprueba que la DARD reseñada continúa descargándose e instalándose. 5. Durante la visita señalada en los Hecho Probado Tercero no se localizó en la página principal información alguna relativa a la descarga e instalación de DARD. 6. En el acceso a la web www.sibarumcatering.com realizado en fecha 23/03/2017, se desplaza la página y se localiza, al pie de la misma, la siguiente leyenda informativa: “Utilizamos cookies propias y de terceros para analizar y medir la navegación de nuestros usuarios y mejorar su experiencia en nuestra web. Si continúas navegando, consideramos que aceptas su uso”, sin que constase en la misma ningún aviso de segunda capa. 7. Con fechas 30/05/2016 y 23/03/2017, se comprueba que en el Registro General de Protección de Datos de la AEPD no figura inscrito ningún fichero cuya titularidad corresponda a la entidad SIBARUM. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.1.a),
  3. f)y
  4. n)de la LOPD y 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II En el presente procedimiento se imputa a SIBARUM, en su condición de responsable del sitio web www.sibarumcatering.com, una infracción del artículo 5 de la LOPD, cuyos apartados 1 y 2 establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El citado artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo anteriormente señalado la denunciada debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de los formularios obrantes en la página web de su titularidad la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacer previamente a la solicitud de los mismos. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. Es decir, la exigencia de la información requerida en el artículo 5.1 y 2 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 un complemento previo para el ejercicio de otros derechos que la LOPD reconoce. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. En el presente caso, a través de los accesos efectuados durante la fase previa de investigación y durante la tramitación del procedimiento, se constató que a través del formulario de contacto insertado en el sitio web www.sibarumcatering.com, la entidad SIBARUM, titular del mismo, recoge datos de carácter personal de los usuarios relativos a nombre, dirección de correo electrónico y teléfono sin ofrecer la información prevista en el artículo 5 de la LOPD. Así, a través de dicha web, que no contiene ningún documento relativo a la política de privacidad, no se comunica la existencia de un fichero al que se incorpora la información de carácter personal solicitada, tampoco se identificaba claramente al responsable del tratamiento ni la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO). La falta de información previa, expresa, precisa e inequívoca a los usuarios cuyos datos personales se recaban a través de los formularios obrantes en la página web www.sibarumcatering.com supone la comisión de la infracción leve descrita en el artículo 44.2.
  10. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III Asimismo, se imputa a SIBARUM la infracción leve del artículo 26.1 de la LOPD, que bajo la rúbrica “Notificación e inscripción registral” establece que: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” Dicho precepto debe ponerse en relación con lo dispuesto en el artículo 55.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), que dispone sobre la “Notificación de ficheros” lo siguiente: “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” En el presente caso, durante la fase de investigación previa y en la consulta realizada el 23/03/2017, se constató que en el Registro General de Protección de Datos no figuraba ningún fichero registrado a nombre de SIBARUM. De lo que se colige que dicha entidad no ha inscrito fichero alguno bajo su titularidad, a pesar de que recaba y trata automatizadamente los datos personales de usuarios que cumplimentan los formularios contenidos en dicho portal, incumpliendo con ello el deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 notificar la creación de dicho fichero la AEPD establecido en el artículo 26.1 de la LOPD. La falta de notificación previa a la Agencia Española de Protección de Datos de la creación de los ficheros resultantes de recoger datos personales de los usuarios a través de los formularios obrantes en el mencionado sitio web supone la comisión de la infracción leve descrita en el artículo 44.2.
  11. b)de la LOPD, que tipifica como tal: “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. IV El apartado 6 del artículo 45 de la LOPD establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, los apartados 4 y 5 del artículo 45 de la LOPD establecen lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto, en el que se acordó someter a la denunciada a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción de los artículos 5 y 26 de la LOPD, se cumplen los requisitos recogidos en los apartados
  29. a)y
  30. b)del citado apartado 6 del artículo 45 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de SIBARUM por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, falta de constancia de obtención de beneficios por la denunciada como consecuencia de la comisión de la infracción y falta de constancia de perjuicios causados a los usuarios de la web o a terceras personas distintos de los derivados de las propias infracciones. Por lo que habiéndose acreditado la comisión de las reseñadas infracciones procede el apercibimiento a la denunciada. Asimismo, procede requerir a la entidad SIBARUM para que adopte las medidas necesarias para impedir que en el futuro puedan producirse infracciones de naturaleza similar. Teniendo en cuenta las circunstancias puestas de manifiesto en el presente procedimiento, se insta a la citada entidad para incluya en su página web, claramente visible para los usuarios toda la información en materia de protección de datos de carácter personal a la que se refieren los Fundamentos de Derecho anteriores, e inscriba en el Registro General de Protección de Datos los ficheros en los que registre los datos personales que somete a tratamiento. V Por último, en el presente procedimiento se imputa a SIBARUM la vulneración del artículo 22.2 de la LSSI, en el que se establece lo siguiente: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Dicho precepto extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 sólo las denominadas “cookies”, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. El Anexo de la LSSI define, en su apartado c), al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  31. a)entiende lo siguiente: “Todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1º La contratación de bienes o servicios por vía electrónica. 2º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3º La gestión de compras en la red por grupos de personas. 4º El envío de comunicaciones comerciales. 5º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….)”. El prestador de servicios de la sociedad de la información, como en este caso la denunciada en su condición de responsable del sitio web www.sibarumcatering.com al que acceden los usuarios, podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización, estando sometido a las obligaciones y al régimen sancionador de la LSSI. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo 22.2 de la LSSI introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de los DARD o cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. En este supuesto, a raíz de los accesos realizados por la AEPD al portal web www.sibarumcatering.com durante la fase de investigación previa, en concreto, con fecha 30/05/2016, se pudo comprobar que con motivo de tales accesos se descargó el DARD de tercera parte señalado en el Hecho Probado Tercero. No obstante lo cual, SIBARUM no ofrecía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 en la página principal ningún tipo de información referida al uso de dichos dispositivos ni sus finalidades. Por lo que consta que la denunciada, en su condición de prestador de servicios de la sociedad de la información, utiliza dispositivos de almacenamiento y recuperación de datos (DARD) en los terminales de los usuarios que acceden al sitio web mencionado sin facilitarles información clara, completa y accesible sobre su utilización, fines del tratamiento de los datos recabados a través de las cookies analíticas que se descargan, y no informando tampoco sobre los mecanismos de rechazo o bloqueo de tales dispositivos. Esta conducta supone la comisión por parte de SIBARUM de una infracción del citado artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
  32. g)de la citada norma, que señala como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave”. VI El artículo 39 bis de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  33. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  34. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  35. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  36. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  37. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  38. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  39. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Por su parte el artículo 40 de la LSSI, en relación con la “Graduación de la cuantía de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 sanciones”, determina lo siguiente: La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  40. a)La existencia de intencionalidad. b). Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  41. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  42. d)La naturaleza y cuantía de los perjuicios causados.
  43. e)Los beneficios obtenidos por la infracción.
  44. f)Volumen de facturación a que afecte la infracción cometida.
  45. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente supuesto se cumplen los requisitos recogidos en las letras
  46. a)y
  47. b)del citado apartado 2 del artículo 39 bis de la LSSI, así como la concurrencia del supuesto previsto en el artículo 39 bis 1.
  48. a)de la misma norma, toda vez que se constata una cualificada disminución de la culpabilidad del denunciado, teniendo en cuenta que concurren de forma significativa las circunstancias de falta de constancia de la existencia de perjuicios al denunciante al margen de los propios de la comisión de la infracción, así como de beneficios obtenidos a raíz de la misma. Procede, por tanto, apercibir a la entidad SIBARUM. En el acceso a la web www.sibarumcatering.com realizado en fecha 23/03/2017, se desplaza la página y se localiza, al pie de la misma, la siguiente leyenda informativa: “Utilizamos su experiencia en nuestra web. Si continúas navegando, consideramos que aceptas su uso”, no constando en la misma ningún aviso de segunda capa. La denunciada, después de recibir el acuerdo de trámite de audiencia previa al apercibimiento acordado por la Directora de la AEPD, procedió a adoptar las medidas que consideró pertinentes para subsanar la situación y adecuar su conducta a lo previsto en el artículo 22.2 de la LLSI, si bien la información insertada en su página web, antes detallada, sobre la utilización y finalidades de los DARD descargados no responde a las exigencias requeridas para la obtención del consentimiento informado establecido en el artículo 22.2 de la LSSI, ante la ausencia de una información clara y completa sobre la utilización, fines del tratamiento de los datos recabados a través de las cookies analíticas que se descargan, ni sobre los mecanismos de rechazo o bloqueo de tales dispositivos, por lo que procede requerir a la entidad SIBARUM para que inserte en su web la información precisa sobre la utilización de DARD en el sentido expresado. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00370/2016) a SIBARUM SITGES, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción de los artículos 5 y 26 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 tipificadas como leves en los artículos 44.2.
  49. c)y 44.2.
  50. b)de la citada Ley Orgánica, respectivamente. 2.- APERCIBIR (A/00370/2016) a la entidad SIBARUM SITGES, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la LSSI, en relación con la denuncia por infracción del artículo 22.2 de la citada norma, tipificada como leve en el artículo 38.4.
  51. g)de la misma. 3.- REQUERIR a la entidad SIBARUM SITGES, S.L. de acuerdo con lo establecido en los artículos 45 de la LOPD y 39 bis.2 de la LSSI, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en los artículos 5 y 26 de la LOPD y artículo 22.2 de la LSSI, en el sentido expresado en los Fundamentos de Derecho IV y VI de la presente resolución, procediendo a la inscripción de los ficheros en los que registre los datos personales que somete a tratamiento e insertando en la web www.sibarumcatering.com la información exigida en materia de protección de datos de carácter personal y sobre la utilización de DARD, configurando el sitio web de modo que no instale dispositivos de almacenamiento y recuperación de datos sin la información adecuada a los tipos y finalidades de los DARD utilizados. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos o medios de prueba que acrediten dicha circunstancia. Se le advierte que en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD, sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica, y/o en la infracción del artículo 38 de la LSSI, sancionable de acuerdo con lo dispuesto en el artículo 39 de la citada norma. 4.- NOTIFICAR la presente Resolución a SIBARUM SITGES, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.