← España

A-00382-2015

1/16 Procedimiento Nº: A/00382/2015 RESOLUCIÓN: R/01276/2016 En el procedimiento A/00382/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Don B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 12 de junio de 2015 tiene entrada en esta una denuncia interpuesta por Don B.B.B., en adelante el denunciante, en la que, en síntesis, manifiesta lo siguiente: 1. El 19 de febrero de 2014 se registró en el sitio web www.toner1.es, del que es responsable Don A.A.A. (en adelante RFG o el denunciado) con el fin de realizar una compra de tóner de impresora. Los precios estaban equivocados por lo que RFG cambio las condiciones del pedido, cuya copia se aporta, antes de anularlo. 2. Al ir a solicitar la cancelación de los datos de sus ficheros ha descubierto que no tiene ninguno registrado en la Agencia Española de Protección de Datos, aunque aseguran tenerlos. 3. En la política de privacidad de la página web informan respecto del uso de unas determinadas cookies pero al utilizar el navegador Chrome en modo incógnito se instalan las siguientes cookies MAButmm, MAButmh y __zlcmid que no están definidas en dicha política de privacidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de los siguientes hechos: 1. El dominio toner1.es está registrado a nombre de C.C.C.. 2. El 28 de julio de 2015 se accede al sitio web www.toner1.es en el que se constatan los siguientes hechos: 2.1. El sitio web dispone de una página de aviso legal accesible desde un enlace al pie de la página principal que identifica a RFG como dueño del sitio web. 2.2. El sitio web recoge datos de carácter personal a través de distinto formularios como uno de contacto en el que se recogen el nombre, apellidos, correo electrónico, teléfono y asunto o como el formulario de registro que se debe de rellenar para poder realizar compras en el comercio electrónico del sitio web, en el que se recogen obligatoriamente nombre, apellidos, NIF, domicilio completo de envío, correo electrónico, teléfono y tipo de cliente (particular o empresa). 2.3. El sitio web dispone de una página de política de privacidad (www.toner1.es/politica-privacidad.html ) accesible desde un enlace al pie de la página principal. La página identifica a RFG como responsable del fichero en el que se incluirán los datos de los usuarios del sitio web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 2.4. El sitio web dispone de un aviso de uso de dispositivos de almacenamiento y recuperación de datos en Equipos terminales, en adelante DARD, que se muestra en la parte inferior de la ventana con el siguiente texto: “Utilizamos usuarios. Si continúas navegando, consideramos que aceptas su uso. Puedes obtener más información aquí”. La última palabra contiene un enlace a la página de política de privacidad citada en el punto 2.2 una de cuyas secciones informa sobre el uso de DARD.  La información proporcionada sobre los DARD (cookies en el sitio web) es la siguiente: Definición y uso de cookies en el sitio web; Finalidades de los DARD; Tipos de DARD utilizados.  Respecto de la posibilidad de rechazar el uso de DARD informa de que “… tiene la opción de impedir la generación de cookies y la eliminación de las mismas mediante la selección de la correspondiente opción en su Navegador. En caso de bloquear el uso de cookies en su navegador es posible que algunos servicios o funcionalidades de la página Web no estén disponibles.” 3. Realizada una búsqueda en el Registro General de Protección de Datos no se localiza ningún fichero registrado a nombre de RFG. 4. El 28 de julio de 2015 se realiza una prueba de acceso al sitio web denunciado con dos navegadores, un Google Chrome y un Mozilla Firefox. A continuación se listan los DARD descargados durante las pruebas no exentos de deber de información, que en ambos caso fueron los mismos. Dominio Nombre Primera - Tercera parte Caducidad toner1.es _utma Tercera toner1.es _utmb Tercera Persistente Persistente toner1.es _utmc Tercera Sesión toner1.es _utmz Tercera Persistente toner1.es _utmt Tercera Persistente toner1.es __zlcmid Tercera Persistente www.toner1.es MAButm Tercera Persistente www.toner1.es MAButhm Tercera Persistente www.toner1.es MABSession Tercera Persistente Primera Persistente Persistente www.toner1.es bam.nr-data.net JSESSIONID zopim.com __cfduid Tercera Sesión Persistente google.com NID Tercera Persistente El DARD sin nombre de la lista que está vinculado al dominio www.toner1.es, es un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 dispositivo de almacenamiento basado en HTML5 . 5. Respecto de las finalidades de los DARD descargados: 5.1. Los cinco DARD vinculados al dominio toner1.es que comienzan por “_utm” son utilizados por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web 5.2. El sitio web analizado dispone de un servicio de chat integrado que se proporciona a través de ZOPIM1 y que utiliza tanto la cookie denominada “_zlmcid” del dominio toner.es, que permite identificar al usuario a través de distintas visitas al sitio web, y la cookie denominada “__cfduid” del dominio zoopim.com, que es utilizada por Cloudfare2 (otra empresa) para mejorar el rendimiento de los sitios web. 5.3. Los tres DARD que comienzan por “MAB” y los denominados chkCookie y que es un servicio prestado por Mabisy Online SL. El prestador del servicio propone un ejemplo3 de información a proporcionar para cumplir con las exigencias en materia de DARD en el que proporciona información, entre otras de la finalidad de los DARD:  ASP.NET_SessionId y MABSesion: “Estas cookies son identificadores de sesión proporcionados por el servidor de Microsoft ASP y propio del sistema. Se utilizan para identificar a un usuario que haya iniciado sesión en nuestra página Web. La empresa proveedora de las cookies es Mabisy online s.l.”  MAButm y MAButmh: “Ambas cookies almacenan información sobre posible campo campaña de marketing (la primera almacena datos, y la segunda realiza un historial).”  chkCookie: “Identifica para esta sesión la aceptación del uso de cookies que hacemos en la web y de esta forma no mostrar nuevamente el aviso.”.  cookie_products: “Identifica para la sesión actual los productos que ha consultado el usuario para poder ofrecer una mejor experiencia de navegación.”. De esa forma puede mostrar los productos de la lista en la parte izquierda de la página, bajo el título “PRODUCTOS VISTOS”. 5.4. El DARD denominado JSESSIONID vinculado al dominio bam.nr-data.net contiene un identificador de sesión y es utilizado en sitios web que utilizan desarrollados con tecnología Java para gestionar la sesión del usuario del sitio web. En este caso, según el propio prestador del servicio describe 4, el identificador es utilizado para realizar analítica web a través del servicio prestado por New Relic Inc. 5.5. Según informa Google Inc. en una de sus páginas5 “Google utiliza cookies, como NID y SID, para personalizar los anuncios que se muestran en sus propiedades (p. ej., en el buscador de Google). Por ejemplo, utilizamos estas 1 https://www.zopim.com/privacy#cookie 2 https://support.cloudflare.com/entries/22437336-What-does-the-CloudFlare-cfduid-cookie-do3 http://www.mabisy.com/server/Portal_0006286/documentos/Ejemplo%20pol%C3%ADtica %20de%20cookies%20con%20remarketing%20y%20zopim.pdf 4 https://docs.newrelic.com/docs/browser/new-relic-browser/performance-quality/security-new-relic-browser 5 https://www.google.es/intl/es/policies/technologies/types C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 anteriores con los resultados de búsqueda o con la publicidad de un anunciante y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizados en Google.” 6. A la vista de lo cual, se observan las siguientes deficiencias en el sistema de información por capas sobre el uso de DARD utilizado por el responsable del mencionado sitio web: 6.1. En el aviso de la primera capa no se cita el uso ni finalidades esenciales de las DARD publicitarias y las vinculadas al servicio de chat. No se asocia claramente las DARD analíticas a la finalidad de “ realizar el análisis de la navegación de los usuarios” que se describe como única finalidad de los dispositivos descargados. 6.2. En la segunda capa informativa se constata que: 6.2.1.No se especifica el uso y finalidades de las DARD analíticas, publicitarias y del servicio de chat de tercera parte, no estando tampoco asociados a los dominios bajo los que se descargan ni a la identidad de los terceros que las gestionan. 6.2.2.En el caso de continuar optando por una descripción detallada de los DARD utilizados deberían describirse las finalidades de todos los dispositivos no exentos relacionados en la tabla del punto 4 del Hecho Segundo de este acuerdo que no aparezcan en la explicación esquematizada del documento de “Política de Privacidad” . 6.2.3.No proporciona información sobre la posibilidad de rechazar o inhabilitar el uso de los DARD facilitando las instrucciones concretas de configuración de los navegadores más utilizados por los internautas españoles o incluyendo los enlaces a las versiones actualizadas de las mismas. Tampoco facilita información o proporciona el enlace para descargar el “Complemento de inhabilitación para navegadores de Google Analytics” TERCERO: Con fechas 29 de julio y 20 de noviembre de 2015 se comprueba que en el Registro General de Protección de Datos (RGPD) no consta inscrito ningún fichero asociado al NIF o nombre y apellidos del denunciado. TERCERO: Con fecha 1 de diciembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00382/2015 por presunta infracción de Don A.A.A. (en adelante el denunciado ) del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.

  1. g)de dicha norma. Dicho acuerdo fue notificado al denunciado y al denunciante diciembre de 2015, respectivamente. con fechas 4 y 9 de CUARTO: Con fechas 10 y 16 de diciembre de 2015 se registran de entrada sendos escritos del denunciado poniendo de manifestó que se había modificado la política de misma. Adjunta impresión de la “Política de Cookies” modificada. Asimismo, se comunica que se había dado de alta el fichero de clientes en la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 QUINTO: Con fecha 20 de mayo de 2016 desde la Subdirección General de Inspección de Datos se accede al sitio web www.toner1.es con un navegador Google y la información ofrecida sobre los mismos, cuyo resultado se incorpora al expediente junto con los documentos de “Política de Privacidad” y “Aviso Legal” del reseñado portal. También se incorpora impresión del documento “Tipos de cookies que utiliza Google” obtenido en la página web https://www.google.es/intl/es/policies/technologies/types/ y del contenido del resultado de la inscripción efectuada por el denunciado en el RGPD . SEXTO: Con fecha 23 de mayo de 2016 se constata que en el Registro General de Protección de Datos aparece inscrito el fichero “Clientes y/o Proveedores” a nombre de Dña . C.C.C. . HECHOS PROBADOS PRIMERO: Con fecha 28 de julio de 2015 se constata que Don A.A.A. se identifica como responsable de la página web http://www.toner1.es (folios 13 y 16) SEGUNDO: En la prueba de acceso realizada con fecha 28 de julio de 2015 se instalaron las siguientes DARD de tercera parte no exentas del deber de información: (folios 26 al 45) Dominio Nombre Primera - Tercera parte Caducidad toner1.es _utma Tercera toner1.es _utmb Tercera Persistente Persistente toner1.es _utmc Tercera Sesión toner1.es _utmz Tercera Persistente toner1.es _utmt Tercera Persistente toner1.es __zlcmid Tercera Persistente www.toner1.es MAButm Tercera Persistente www.toner1.es MAButhm Tercera Persistente www.toner1.es MABSession Tercera Persistente zopim.com __cfduid Tercera Persistente google.com NID Tercera Persistente TERCERO: Durante dicho acceso se constata que se utiliza un sistema de información por capas. Así al acceder al citado sitio aparece, en la parte inferior de la ventana, el siguiente aviso o primer nivel relativo al uso de DARD: “Utilizamos cookies propias y de terceros, para realizar el análisis de la navegación de los usuarios. Si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 continúas navegando, consideramos que aceptas su uso. Puedes obtener más información aquí”. (folios 13 al 15) El texto subrayado es un enlace a la página de política de privacidad o segundo nivel, que tiene un apartado denominado “Política de Cookies” que informa sobre el uso de DARD (cookies en el sitio web) propias y de terceros “ para ofrecerle una mejor experiencia y servicio” a través de los siguientes epígrafes: - ¿Qué es una cookie? - Utilidad de las cookies en mi página web. En este punto se indica, entre otros extremos: “Utilizamos cookies para facilitar la navegación por la web y para obtener una mayor eficacia y personalización de los servicios que le ofrecemos. “ - personalizar las visitas de los usuarios a través de sus preferencias y de los servicios estadísticos de Google Analyticis. Junto con sus respectivas finalidades se detallan como cookies utilizadas en la página web : - ASP.NET_SessionId, MABSesion - - chkCookie - testCookie - _utma, _utmb, _utmc, _utmz del servicio de Googley Analytics. Respecto de la posibilidad de rechazar el uso de DARD se informa de que “Al navegar o utilizar nuestros servicios acepta el uso que hacemos de las cookies. Sin embargo, tiene la opción de impedir la generación de cookies y la eliminación de las mismas mediante la selección de la correspondiente opción en su Navegador. En caso de bloquear el uso de cookies en su navegador es posible que algunos servicios o funcionalidades de la página Web no estén disponibles.” CUARTO: Con fecha 13 de enero de 2016 se inscribe en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos un fichero denominado de “Clientes y/o Proveedores” que tiene como finalidad a gestión de clientes y/o proveedores, constando como responsable del mismo Don A.A.A. (folio 98) QUINTO: En la prueba de acceso efectuada el 20 de mayo de 2016 al sitio web www.www.toner1.es se instalaron las siguientes DARD de tercera parte no exentas del deber de información: Dominio Nombre Primera - Tercera parte Caducidad Persistente Persistente toner1.es _ga Tercera toner1.es _gat Tercera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 toner1.es __zlcmid Tercera Persistente www.toner1.es MAButm Tercera Persistente www.toner1.es MAButhm Tercera Persistente www.toner1.es MABSession Tercera Persistente SEXTO: Durante la visita de fecha 20 de mayo de 2016 se comprueba que la información ofrecida en los dos niveles del sistema de información por capas utilizado en el sitio web sobre el uso de DARD se indica : En el primer nivel, constituido por el aviso que aparece en la parte inferior de la ventana se advierte: “Utilizamos cookies propias y de terceros para analizar la navegación de los usuarios. Si continúas navegando consideramos que aceptas su uso. Más información aquí.“ . Junto al aviso hay un botón de “ACEPTAR”. En el segundo nivel, al que se accede a través del enlace constituido por el texto subrayado del citado aviso, y dentro del apartado “Política de Cookies” contenido en el documento de “política de privacidad” del sitio web, se informa sobre el uso de DARD (cookies en el sitio web) propias y de terceros bajo el mismo esquema que el indicado en el Hecho Probado Tercero, al que se han añadido los siguientes epígrafes: - Adwords. - - Configuración de las cookies en el navegador. Punto en el que se informa sobre la forma de bloquear o eliminar las cookies instaladas en los equipos terminales mediante la configuración de las opciones ofrecidas para ello en los navegadores de Internet: Firefox, Chrome, Explorer, Safari y Opera. - ¿Qué ocurre si se deshabilitan las cookies - Actualizaciones en la Política de Cookies. En el epígrafe correspondiente al detalle de las “Cookies empleadas” se reseña que se utilizan, entre otros dispositivos que se citan en la relación incluida: -Las cookies ASP.NET_SessionId y MABSesion, de las que se indica: “Estas cookies son identificadores de sesión proporcionados por el servidor de Microsoft ASP y propio del sistema. Se utilizan para identificar a un usuario que haya iniciado sesión en nuestra página Web. La empresa proveedora de las cookies es Mabisy online s.l.” -Las cookies MAButm y MAButmh, de las que se informa: “Ambas cookies almacenan información sobre posible campo campaña de marketing (la primera almacena datos, y la segunda realiza un historial).La empresa proveedora de las cookies en Mabisy online s.l.” -Las cookies “_ga” y “_gat” , de las que se afirma : “que se usa en los cálculos de Google Analytics sobre usuarios, sesiones y campañas. Google Analytics en una empresa de Google Inc., la empresa proveedora de est cookie.” . -La cookie “_zlcmid” , cuya finalidad se describe como “Almacenar las preferencias del usuario del Live Chat de Zopim. La empresa proveedorea de esa cookie es Zopim Technoligies Pte Ltd.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 SÉPTIMO: Con fecha 20 de mayo de 2016 se constata que en la “Política de Privacidad” del sitio web www.toner1.es Dña. C.C.C. aparece como responsable del fichero automatizado en que se tratan los datos de carácter personal recabados a los usuarios del portal a través de los formularios obrantes en el mismo . Asimismo, con esa misma fecha, se constata que en el “Aviso Legal” de la reseñada página web dicha persona se identifica como propietaria de la misma. (folios 84 y 91) OCTAVO: Con fecha 20 de mayo de 2016 se constata que en la página web https://www.google.es/intl/es/policies/technologies/types relacionada con los “Tipos de - En la categoría correspondiente a Preferencias se informa que: “La mayoría de los usuarios de Google tienen habilitada en sus navegadores una cookie de preferencias denominada “NID”. Un navegador envía esta cookie a través de solicitudes a los sitios web de Google. La cookie NID contiene un ID único que Google utiliza para recordar tus preferencias y otra información, como tu idioma preferido (por ejemplo, el español), el número de resultados de búsqueda que quieres que se muestren por página (por ejemplo, 10 o 20) y si quieres que el filtro SafeSearch de Google esté activado o desactivado. - En la categoría correspondiente a Publicidad se indica que: “Google utiliza cookies, como NID y SID, para personalizar los anuncios que se muestran en sus propiedades (p. ej., en el buscador de Google). Por ejemplo, utilizamos estas cookies para recordar tus búsquedas más recientes, tus interacciones anteriores con los resultados de búsqueda o con la publicidad de un anunciate y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizados en Google. (…) En algunos casos, puede haber una cookie habilitada en el dominio de un sitio web al que hayas accedido. En el caso de DoubleClick, puede haber una cookie “_gads” habilitada en el dominio del sitio web que estés visitando. A diferencia de lo que sucede con las cookies habilitadas en sus propios dominios, Google no puede leer esta cookie cuando te encuentras en otro sitio web. Su función consiste, entre otras cosas, en medir las interacciones con los anuncios incluidos en ese dominio y evitar que veas la misma publicidad demasiadas veces. - En la categoría correspondiente a Google Analytics se refiere que: “Google Analytics es la herramienta de análisis que ayuda a los propietarios de sitios web y de aplicaciones a entender cómo interactúan los visitantes con sus propiedades. Esta herramienta puede utilizar un conjunto de cookies para recopilar información y ofrecer estadísticas de uso de los sitios web sin identificar personalmente a los visitantes de Google. La principal cookie que utiliza Google Analytics es “_ga”. Además de para ofrecer estadísticas de uso de los sitios web, Google Analytics C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 también se puede utilizar junto con algunas de las cookies publicitarias descritas anteriormente para mostrar anuncios más relevantes en las propiedades de Google (p.ej., en el buscador de Google ) y en toda la Web.” (folios 95 al 97) NOVENO:Con fecha 23 de mayo de 2016 se comprueba que en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos figura inscrito un fichero denominado de “Clientes y/o Proveedores” que tiene como finalidad la gestión de clientes y/o proveedores, del que es responsable Dña. C.C.C. . (folios 99 y 100) FUNDAMENTOS DE DERECHO I El artículo 43.1 de la LSSI establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
  2. d)e
  3. i)y 38.4.d),
  4. g)y
  5. h)de esta Ley”; otorgando por tanto a la Agencia Española de Protección de Datos la facultad para imponer sanciones por la comisión de la infracción del artículo 22 de la Ley 34/2002, de 11 de julio, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos objeto de imputación del presente expediente constituyen infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. La conculcación de dicho precepto está tipificada como infracción leve en el artículo 38.4.
  6. g)de la LSSI, que establece como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.”, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
  7. c)de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo los DARD o cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. III El artículo 22.2 de la LSSI utiliza conceptos legales que cuentan con una definición establecida en la propia norma que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del mismo hablan del destinatario, que según el apartado
  8. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
  9. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
  10. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) De acuerdo con la redacción del citado artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente IV Conviene señalar que el modo de ofrecer la información relativa al artículo 22.2 de la LSSI no obedece a supuestos tasados, por lo que cualquier fórmula que satisfaga la finalidad del citado precepto es perfectamente válida, siempre y cuando permita que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal para que pueda prestar un consentimiento que se pueda considerar válidamente otorgado. Para ello resulta esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Es decir, no resulta necesario que dicha información se establezca a través de una relación exhaustiva de DARD/cookies, pudiendo proporcionarse por grupos de cookies homogéneos, siempre que recoja, en orden a asegurar la obtención de un consentimiento informado de los usuarios antes de la instalación de tales dispositivos, si son de primera o de tercera parte, finalidades perseguidas por el editor o por los terceros que gestionan la instalación y el tratamiento dado a la información obtenida a través de los distintos tipos de DARD utilizados, cuya identificación deberá facilitarse, aludan a los mecanismos de rechazo o bloqueo de las cookies y a la forma de revocación del consentimiento ya prestado, todo ello contando con que esta información habrá de estar actualizada. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que a fecha 28 de julio de 2015 el responsable del sitio web www.toner1.es no ofrecía a los usuarios que visitaban dicho portal una información clara y completa sobre los diferentes tipos de dispositivos de almacenamiento y recuperación de datos utilizados, ya que en ninguno de los dos niveles se hacía referencia al uso de las cookies publicitarias y las asociadas al servicio de chat cuya descarga resultó probada, las finalidades del tratamiento de los datos recabados a través de las mismas y la configuración disponible en los navegadores de Internet más utilizados para rechazar o bloquear el uso de tales dispositivos. Así, en ese primer acceso se constató que el sistema de información por capas del sitio web de referencia presentaba las carencias informativas reseñadas en el punto nº 6 del Antecedente de Hecho Segundo de esta resolución, las cuales fueron comunicadas a través del Acuerdo de Audiencia Previa al Apercibimiento a Don A.A.A., persona que con arreglo a las definiciones legales citadas en el anterior Fundamento de Derecho ostentaba la condición de Prestador de Servicios de la Sociedad de la Información en atención a su condición de responsable y propietario del mencionado sitio web en esa fecha (julio 2015), estando, por tanto, sujeto al régimen sancionador previsto en la LSSI en caso de incumplimiento de las obligaciones previstas en el artículo 22.2 de la LSS para dicha figura. A fin de verificar las modificaciones introducidas en el mencionado sitio web alegadas por el citado responsable al contestar el mencionado Acuerdo, desde la Subdirección General de Inspección de Datos con fecha 20 de mayo de 2016 se realiza un segundo acceso al sitio web www.toner1.es. Fruto del mismo se constata la descarga de los DARD de tercera parte no exentos del deber de información que se reseñan en el Hecho Probado Quinto de esta Resolución. Paralelamente, se comprueba que el contenido de la “Política de documento adjuntado por Don A.A.A. en su escrito de alegaciones de fecha 11 de diciembre de 2015 a los efectos de acreditar las medidas correctoras adoptadas. (folios 70 al 73 y 84 al 88). De este modo, en el epígrafe correspondiente a la “Política de Cookies “ se informa que en la página web www.toner1.es se usan las cookies analíticas “_ga” y “_gat” del Servicio de Google Analytics, las cookies publicitarias “MAButm” y “MAButmh” y la cookie __zlcmid asociada al servicio de chat de Zopim , cuyas finalidades concretas aparecen descritas junto con la identidad de los terceros que las gestionan, tal y como refleja la información contenida en el Hecho Probado Sexto. Asimismo, se ha comprobado que en dicha “Política de Cookies” se ha incluido un epígrafe que, bajo la rúbrica “Configuración de las cookies en el navegador”, muestra las instrucciones para permitir, bloquear o eliminar las cookies en los navegadores de Internet más utilizados por los usuarios españoles. Sentado lo anterior, procede poner de manifiesto que a raíz de este segundo acceso también se ha comprobado que en la actualidad el denunciado ya no figura como responsable de la reseñada página web, sino que en los documentos de “Política de Privacidad” y “Aviso Legal” del sitio aparece identificada como tal Dña. C.C.C. , quien también figura inscrita en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos como responsable del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 denominado de “Clientes y/o Proveedores”, según se ha constatado el 23 de mayo de 2016, En conclusión, y sin perjuicio de las medidas correctoras adoptadas por el denunciado con posterioridad a la recepción del acuerdo de audiencia previa al apercibimiento, y de las que aportó prueba en su escrito de alegaciones (folios 70 al 73), de los elementos fácticos resultantes de las actuaciones previas de inspección realizadas en el presente expediente ha quedado justificado que el denunciado no ofrecía información clara y completa a los usuarios que accedían a su portal sobre el uso y finalidades de los DARD utilizados, como exige el artículo 22.2 de la LSSI, por lo que ha incurrido en la infracción leve a lo dispuesto en el artículo 38.4.
  11. g)de dicha norma. VI A los efectos de acordar la resolución procedente debe tenerse en cuenta lo previsto para la moderación de las sanciones en los artículos 39 bis y 40 de dicha norma, los cuales disponen lo siguiente: “Artículo 39 bis Moderación de sanciones 1. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  12. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40.
  13. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  14. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  15. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  16. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  17. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  18. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 sancionador por dicho incumplimiento. Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  19. a)La existencia de intencionalidad.
  20. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  21. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  22. d)La naturaleza y cuantía de los perjuicios causados.
  23. e)Los beneficios obtenidos por la infracción.
  24. f)Volumen de facturación a que afecte la infracción cometida.
  25. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” A la vista de lo previsto en el apartado segundo del artículo 39 bis 2 de la LSSI, esta Agencia considera que en este supuesto procedería apercibir al denunciado al cumplirse los requisitos
  26. a)y
  27. b)del mencionado precepto. Junto a ello, se constata la concurrencia del supuesto contemplado en el artículo 39 bis 1.
  28. a)de la misma norma al producirse una cualificada disminución de la culpabilidad de Don A.A.A. teniendo en cuenta la concurrencia significativa de las circunstancias a),
  29. d)y
  30. e)del artículo 40 de la LSS. De este modo, se valora la ausencia de intencionalidad al haber quedado probado que tan pronto como el denunciado recibió el acuerdo de audiencia previa del procedimiento procedió a adoptar medidas tendentes a subsanar la situación, y la falta de constancia de la existencia de perjuicios causados al denunciante o de que el infractor haya obtenido beneficios con motivo de la comisión de la infracción. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando no deban ser requeridas tales medidas, lo procedente en Derecho es acordar el archivo de las actuaciones. Además de la adopción de determinadas medidas correctoras, cabe señalar que, como se ha señalado en el Fundamento de Derecho anterior, con fecha 20 de mayo de 2016, -es decir, con posterioridad a la comunicación del denunciado de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 modificaciones introducidas en el segundo nivel del sistema de información por capas que se utiliza en el sitio web www.toner1.es-, se ha comprobado que en la actualidad el mencionado portal no recae bajo la titularidad del denunciado, sino que la página web en cuestión pertenece a Dña. C.C.C. según se informa en el “Aviso Legal” y la “Política de Privacidad” de la misma, persona que también aparece en este último documento como responsable del fichero resultante de los datos de carácter personal recabados a través de los formularios obrantes en el sitio web. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que no procede requerir la adopción de medidas correctoras, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones practicadas. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR el procedimiento A/00382/2015 seguido contra Don A.A.A., con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). SEGUNDO: NOTIFICAR el presente Acuerdo a Don A.A.A. y a Don Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.