A-00372-2014

1/7 Procedimiento Nº: A/00372/2014 RESOLUCIÓN: R/00369/2015 En el procedimiento A/00372/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por la entidad BULL SPORT NUTRITION IBERICA SL y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 31 de octubre de 2012 tuvo entrada en esta Agencia un escrito de BULL SPORT NUTRITION IBERICA SL en el que se declaraba que el sitio web nutrieuropa.es / nutrieuropa.com no cumplía con la legislación española en materia de Protección de Datos dado que no están inscritos los correspondientes ficheros en la Agencia Española de Protección de Datos, no se aclara la forma de recabar los datos de los usuarios del sitio web, y no aparece identificada la mercantil o persona titular, por lo que se desconoce la legalidad del tratamiento de los datos recabados. Indican que tampoco solicitan la autorización del usuario para enviar comunicaciones. Indican que el responsable de la web es D. A.A.A., aportando su dirección y número de DNI, así como el proveedor de servicios de Internet. SEGUNDO: Con fecha 5 de febrero de 2014 se dicta Resolución del Director de esta Agencia por el que se declara la caducidad de las actuaciones previas correspondientes al E/00247/2013 y se acuerda iniciar nuevas actuaciones previas de investigación que seguirán bajo la referencia del expediente número E/00154/

1. TERCERO: Mediante diligencia de 20 de marzo de 2014 se incorporan las actuaciones de inspección del E/00247/2013 al expediente E/00154/
2. CUARTO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de los datos personales que se realiza, cumple las condiciones que impone la citada normativa, teniendo conocimiento de las siguientes cuestiones: Sobre la Inscripción de los ficheros de datos personales, por parte de esta Inspección de datos se ha verificado la existencia de un formulario de recogida de datos personales para clientes en el sitio www.nutrieuropa.com. Asimismo, realizadas búsquedas en el Registro General de Protección de Datos de esta Agencia no se han encontrado inscripciones de ficheros titularidad del denunciado. Con fecha 24 de marzo de 2014 la Subdirección General de Protección de Datos remitió NOTA INTERNA a la SUBDIRECCIÓN GENERAL DE REGISTRO GENERAL DE PROTECCIÓN DE DATOS poniendo de manifiesto no tener constancia de la inscripción del fichero, solicitando al SUBDIRECTOR GENERAL DEL REGISTRO GENERAL DE PROTECCIÓN DE DATOS que efectúe los requerimientos oportunos a la citada entidad a los efectos de que proceda a inscribir los ficheros en el Registro General de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de Datos, comunicando a la Subdirección General de Inspección de Datos las actuaciones que haya realizado al respecto la referida persona, o informe de la posibilidad de que la inscripción se haya realizado bajo otra denominación. Con fecha 21 de mayo de 2014 se recibe contestación en la que se notifica que con fecha 4 de abril de 2014 se requiere a dicha entidad para que en el plazo de 10 días proceda a notificar al RGPS aquellos ficheros de los que sea responsable o alegue cualquier otra circunstancia que estime oportuna. Se informa así mismo que con fecha 21 de abril de 2014 el Servicio Postal de Correos devuelve dicho requerimiento por no retirado. Cabe indicar que el dominio nutrieuropa.es se encuentra redirigido a nutrieuropa.com por lo que al intentar acceder al sitio web www.nutrieuropa.es automáticamente los servidores de dominios de Internet redirigen a www.nutrieuropa.com, mostrándose este último. Se ha solicitado información y documentación al denunciado sobre la inscripción de los ficheros de datos, manifestando éste que “es propietario del dominio nutrieuropa.es, no siendo por el contrario propietario del dominio nutrieuropa.com quien su propietario reside en otro país que no es España (Anteriormente Portugal y actualmente en Estados Unidos), y por lo tanto al no residir en España, no debe tener inscritos fichero alguno en la AGPD de España” Indica además que “otros datos que me solicitan al no ser el propietario del dominio nutrieuropa.com, no tengo acceso a los mismos. De desear conocerlos contactar por medio de la información “who is” del dominio advirtiendo que realizar el escrito en lengua inglesa ya que el propietario residente estadounidense únicamente entiende esa lengua por escrito”. No obstante lo anterior, esta Inspección de Datos verificó, con fecha 14/02/2013, es decir, con anterioridad al requerimiento efectuado al denunciado, mediante consulta realizada a la base de datos accesible públicamente “Whois”, de registros de dominios de Internet, que el titular del dominio nutrieuropa.com constaba en esa fecha como “A.A.A.” figurando como contacto administrativo “A.A.A.”. Sin embargo, se ha verificado en fecha 5/07/2013 (después de la contestación del denunciado) que el dominio nutrieuropa.com consta, en la base de datos whois, como titularidad de “Whoisguard” entidad de Los Angeles, California, verificándose también que dicha entidad WhoisGuard ofrece el servicio de ocultación de la información del titular del dominio en la base de datos de acceso público “Whois”. Por otro lado, el denunciante ha aportado a esta Inspección de Datos la información de que nutrieuropa.com se encontraba alojada bajo la dirección IP ***IP.1 cuyo proveedor de servicios es la empresa española SYNC INTERTAIMENT, SL. Realizado un requerimiento de información a dicho proveedor de servicios, éste ha confirmado que los datos del cliente que contrató los servicios de registro de nombre de dominio nutrieuropa.com (alta 04/11/2005) y del servicio de hosting asociado al mismo son “A.A.A. Lanzarote, Las Palmas ….” A fecha 24 de abril de 2013 de la contestación de SYNC INTERTAIMENT, SL, el servicio de hosting estaba de baja y el servicio de registro activo. Indicar que se ha verificado que en la actualidad (a fecha del presente informe) la máquina www.nutrieuropa.com tiene asignada la dirección IP ***IP.2, dirección IP española correspondiente al proveedor REDCORUNA, SLU, de Lugo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Con respecto a la información relativa al artículo 5 de la LOPD se comprobó en dos ocasiones distintas, en fechas 14/02/2013 y 05/03/2013 que el enlace “Política de Privacidad” situado al pie del formulario de recogida de datos en la página web www.nutrieuropa.com no funcionaba, mostrando el literal ”página no encontrada”. Sin embargo, a fecha 08/07/2013, sí funciona, mostrando información sobre la incorporación de los datos personales solicitados en un fichero, indicando que serán tratados con las exigencias legales impuestas, manteniéndose las medidas de seguridad. Informa que los usuarios podrán ejercitar los derechos de acceso, rectificación y cancelación según establece la directiva 2002/58/CE. No se hace alusión al responsable del fichero ni la dirección o medio de ejercitar los derechos. A esta misma información se llega mediante el enlace “privacidad”, que aparece ahora en la izquierda de la página, en el menú principal de productos, servicios e información. Dicho enlace no aparecía en el sitio web antes del requerimiento efectuado al denunciante desde esta Agencia. Si aparecía y sigue apareciendo información de Protección de Datos dentro de las Condiciones Generales de Compra, aludiendo similarmente a la posibilidad de ejercitar los derechos de protección de datos (incluyendo en este caso el derecho de oposición). No se encuentra entre ella información sobre el responsable del fichero ni su dirección. Con fecha 6 de junio de 2014 se vuelven a realizan comprobaciones sobre el citado sitio web con los mismos resultados:  Se accede al enlace de “Política de Privacidad” ubicado en el formulario de registro de usuarios del sitio web nutrieuropa.com. Se verifica que haciendo “click” en el enlace “Política de Privacidad” del formulario de registro del sitio web www.nutrieuropa.com se accede a una página en la que se informa de la Directiva 2002/58/CE y de otros aspectos de protección de datos, cuya impresión se adjunta a la presente diligencia. No se encuentra información sobre el responsable del fichero ni la dirección o medio de ejercitar los derechos.  Se verifica que se accede a la misma información haciendo “click” en el enlace “Privacidad” que se aprecia en el menú principal de productos, servicios e información situado a la izquierda de la página web. Se obtiene impresión del final de las Condiciones Generales de Compra, donde se incluye un resumen sobre la política de privacidad. Tampoco se encuentra información sobre el responsable del fichero ni la dirección o medio de ejercitar los derechos.  Comprobación de la redirección de www.nutrieuropa.es a www.nutrieuropa.com. Se comprueba que introduciendo en la barra de direcciones del navegador la URL “www.nutrieuropa.es” automáticamente se muestra la página “www.nutrieuropa.com”. Con fecha 6 de junio de 2014 se comprueba así mismo la no presencia en el Registro General de Protección de Datos de inscripciones de ficheros cuyo responsable sea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 “A.A.A.”, ó el NIF “***NIF.1”. TERCERO: Con fecha 1 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00372/
3. Dicho acuerdo fue notificado al denunciado el 13 de diciembre de
4. CUARTO: Con fecha 9 y 14 de enero de 2015 se recibe en esta Agencia escrito del denunciado mediante los que presenta alegaciones al acuerdo de audiencia, y en los que manifiesta, entre otras cuestiones, no ser el titular del dominio “nutrieuropa.com” desde antes del requerimiento efectuado de 27 de mayo de 2013, aunque si es titular del dominio “nutrieuropa.es”, que únicamente redirecciona a la primera, y que por eso, no se le debe exigir el cumplimiento de la LOPD. Asimismo, manifiesta que la dirección IP asignada para el sitio “nutrieuropa.com” está en Estados Unidos. HECHOS PROBADOS PRIMERO: Consta que en fecha de 31 de octubre de 2012 tuvo entrada en esta Agencia un escrito de BULL SPORT NUTRITION IBERICA SL en el que se declaraba que el sitio web nutrieuropa.es / nutrieuropa.com no cumplía con la legislación española en materia de Protección de Datos dado que no están inscritos los correspondientes ficheros en la Agencia Española de Protección de Datos, no se aclara la forma de recabar los datos de los usuarios del sitio web, y no aparece identificada la mercantil o persona titular, por lo que se desconoce la legalidad del tratamiento de los datos recabados. Indican que tampoco solicitan la autorización del usuario para enviar comunicaciones. SEGUNDO: Consta que el dominio “nutrieuropa.com” ha sido titularidad de la persona denunciada D. A.A.A., pero que en fecha 5 de julio de 2013 consta, en la base de datos whois, como titularidad de Whoisguard, entidad de Los Ángeles, California, verificándose también que dicha entidad ofrece el servicio de ocultación de la información del titular del dominio en la base de datos de acceso público Whois. TERCERO: Consta que la página web “nutrieuropa.com” recoge datos personales a través de un formulario, en el que no se recoge la información prevista en el art. 5 LOPD, y se recaban datos personales, sin que conste inscrito el fichero en el Registro General de Protección de Datos de esta Agencia. CUARTO: Consta que en fecha 5 de julio de 2013 la titularidad del dominio “nutrieuropa.com” ya no era de la persona denunciada, no pudiendo determinarse en la actualidad, en la medida en que la entidad WhoisGuard ofrece un servicio de ocultación de la información del titular del dominio en la base de datos de acceso público Whois. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo
5. g) en relación con el artículo 36 de la LOPD. II En el caso que nos ocupa se denunciaba a D. A.A.A., en la medida en que, a través de la página web nutrieuropa.es y nutrieuropa.com, se recababan datos personales y no se recogía la autorización del usuario para enviar comunicaciones comerciales, que podrían estar suponiendo una vulneración del art. 5 LOPD. Asimismo, se denunciaba que no constaba inscrito ningún fichero en el Registro General de Protección de Datos. Dicho art. 5 de la LOPD establece “
6. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante (...)
7. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La obligación que impone el art. 5 es, por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Por su parte, el art. 26 LOPD establece: “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificara previamente a la Agencia de Protección de Datos.” En este sentido, con la documentación obrante en el expediente, ha quedado acreditado que en la página web nutrieuropa.com se recaban datos personales. Dicho dominio era titularidad de la persona denunciada, según consta en la documentación obrante en el expediente, hasta el 14 de febrero de 2013, constando ya en fecha 5 de julio de 2013 que el denunciado no es titular del mismo, constatándose en la base de datos “whois”, como titularidad de “whoisguard” entidad de Los Ángeles, California, y verificándose que dicha entidad ofrece el servicio de ocultación de la información del titular del dominio. Por tanto, en este caso, hay que señalar que las infracciones que se imputaban a la persona denunciada D. A.A.A., que son una infracción del art. 5 y otra infracción del art. 26, se encuentran prescritas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En este sentido el art. 5, se encuentra tipificado en el art. 44.2.c) como infracción leve, mientras que el art.44.2.b) tipifica como infracción leve la vulneración de lo dispuesto en el art.
8. Junto a ello, el art. 47 referido a la prescripción establece “las infracciones muy graves prescribirán a los tres años, las graves a los dos años, y las leves al año.” Por tanto, en este caso, cabe declarar que las infracciones se encuentran prescritas, en la medida en que se ha constatado que, desde 5 de julio de 2013 la persona denunciada ya no es titular del dominio, habiendo transcurrido más de un año, según recoge el art. 47 LOPD. Por otro lado, el denunciado solicita que se “eliminen sus datos personales del Documento BOE…”. Con relación a esta cuestión, señalar que para que se realice esta posibilidad deberá acudir al Organismo correspondiente, en este caso el BOE, que ha llevado a cabo la publicación, solicitando el ejercicio del derecho de oposición al tratamiento de sus datos, para que el enlace en el que se encuentren sea incluido en el fichero de “robots.txt” y así no sean captados por los buscadores de internet. Por último, señalar que la notificación a través del BOE se realizó de conformidad con lo dispuesto en el art. 59.5 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, el cual establece: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien, intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de anuncios en el tablón de edictos del Ayuntamiento en su último domicilio, en el "Boletín Oficial del Estado", de la Comunidad Autónoma o de la Provincia, según cual sea la Administración de la que se proceda el acto a notificar, y el ámbito territorial del órgano que lo dictó. En el caso de que el último domicilio conocido radicara en un país extranjero, la notificación se efectuará mediante su publicación en el tablón de anuncios del Consulado o Sección Consular de la Embajada correspondiente. Las Administraciones públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de notificar conforme a los dos párrafos anteriores”. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/00372/2014) El procedimiento abierto a D. A.A.A., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.c) de la citada Ley Orgánica, y por la infracción del artículo 26 de la LOPD, tipificada como leve en el artículo 44.2.b) de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a D. A.A.A., 3.- NOTIFICAR el presente Acuerdo a la entidad BULL SPORT NUTRITION IBERICA SL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es