A-00399-2016

1/19 Procedimiento Nº: A/00399/2016 RESOLUCIÓN: R/00423/2017 En el procedimiento A/00399/2016, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L.., vista la denuncia y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30 de octubre de 2015, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de E.E.E. (en adelante denunciante) en el que manifiesta que se ha registrado en las páginas web <www.gradosdeevoluciondeportiva.es> y <www.gradosdeevoluciondeportiva.com>, con perfil de alumno, que requiere los siguientes campos: deporte/federación, nombre y apellidos, correo electrónico, DNI y teléfono. En el pie de página se indica “acepto ser incluido en una base de datos propiedad de Grados de Evolución Deportiva para el tratamiento de mis datos de acuerdo con la Ley Orgánica15/1999”, pero que ha verificado que dicha entidad no ha procedido a la inscripción del fichero en el Registro General de Protección de Datos (RGPD) y que la recogida de datos incumple el artículo 5 de la LOPD, ya que no se indica la dirección donde pueda ejercitar los derechos de acceso, rectificación, cancelación y oposición, ni la finalidad, ni los posibles cesionarios. Que ha recibido varias comunicaciones electrónicas como si estuviese registrado como escuela, al intentar modificar dicha circunstancia no lo ha podido realizar, que no se le ha facilitado el medio para darse de baja y que no se informa de la política de cookies, infringiendo el artículo 22.2 de la LSSI. Se adjunta con el escrito de denuncia, entre otros, la siguiente documentación:  Documento en cuyo encabezamiento consta Grados de Evolución Deportiva, acceso deportista E.E.E., Estos son tus datos personales: nombre y primer apellido: E.E.E., DNI J.J.J., dirección de correo electrónico: < F.F.F., teléfono móvil: I.I.I. y escuela de surf sardinero.  Impresión de “4” correos electrónicos remitidos por Grados de Evolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 Deportiva, Instituto Internacional de Excelencia y Certificaciones Deportivas, desde la dirección <....@gradosdeevoluciondeportiva.es> a <.....@hotmail.es>, en el periodo comprendido entre el día 23 de septiembre al 20 de octubre de 2015, informando de las actividades de la entidad y el primero de ellos con el texto: “Estimado E.E.E.: Enhorabuena. Ya puedes disfrutar de las ventajas de Grados de Evolución Deportiva: usuario: XXXXXX password: XXXXXX” (….) En dos de ellos en el <....@gradosdeevoluciondeportiva.es> pie de página consta: “En cumplimiento de la normativa de protección de datos, le informamos de que sus datos personales forman parte de un fichero propiedad del Instituto Internacional de Excelencia y Certificaciones Deportivas y son tratados con la única finalidad de mantenimiento de la relación adquirida con usted. Puede ejercitar sus derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito a la dirección indicada”.  Impresiones de la página web <gradosdeevoluciondeportiva.es> de los siguientes aspectos:  Aviso Legal y política de protección de datos en el que se detalla, entre otros, lo siguiente “Uso de cookies (Si se van a usar) GRADOS DE EVOLUCION DEPORTIVA puede utilizar cookies cuando Ud. navega por la página web, sin que su aceptación sea requisito necesario para poder visitar la página web. Las cookies son pequeños ficheros de datos que se generan en su ordenador que permiten reconocer a los usuarios registrados una vez que éstos se han registrado por primera vez, sin que tengan que registrarse en cada acceso a determinadas áreas y servicios. Las cookies nos permiten conocer la fecha y hora de cada visita y los contenidos a los que se accede. Ud. tiene la posibilidad de configurar su programa navegador de Internet para que le avise en la pantalla de la recepción de cookies, así como para impedir su instalación en el disco duro de su ordenador. Política General de privacidad y protección de datos de carácter personal Le informamos de que GRADOS DE EVOLUCION DEPORTIVA trata todos los datos de carácter personal de conformidad con la Ley Orgánica 15/1999 y con el Real Decreto 1720/2007. Los datos de carácter personal que Ud. nos facilita a través de nuestras páginas, mediante formularios o envío de correos electrónicos quedarán registrados y se incorporarán a un fichero, del que es responsable GRADOS DE EVOLUCION DEPORTIVA con la finalidad de gestionar las peticiones formuladas, administrar los procesos de selección de personal con los usuarios del sitio web que envíen su currículum vitae y establecer un vínculo informativo y promocional sobre sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 productos y servicios. El destinatario de estos datos personales es GRADOS DE EVOLUCION DEPORTIVA. El hecho de que Ud. envíe sus datos de carácter personal implicará el consentimiento para su incorporación a dicho fichero y su posterior tratamiento de acuerdo con las finalidades anteriormente descritas. Ud. podrá revocar el consentimiento prestado, sin que tenga efectos retroactivos, así como ejercer su derecho de acceso, rectificación, cancelación y oposición solicitándolo por cualquier medio que deje constancia de su envío y de su recepción ante GRADOS DE EVOLUCION DEPORTIVA. (…) Datos recogidos a través de formularios En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, queda informado y autoriza que los datos de carácter personal que nos facilita a través de este formulario queden incorporados a un fichero titularidad de GRADOS DE EVOLUCION DEPORTIVA debidamente inscrito en el Registro General de la Agencia Española de Protección de Datos. La finalidad del fichero es la gestión de los servicios o información solicitada, la realización de encuestas y estudios estadísticos y la remisión de información comercial o publicitaria sobre productos o servicios que puedan serle de interés. Asimismo autoriza expresamente que sus datos personales puedan ser comunicados a usuarios, patrocinadores, etc., de GRADOS DE EVOLUCION DEPORTIVA para ser tratados única y exclusivamente con la finalidad anteriormente descrita, respetando la legislación española sobre protección de datos de carácter personal y sin necesidad de que le sea comunicada cada primera cesión que se efectúe a los referidos cesionarios. GRADOS DE EVOLUCION DEPORTIVA, como responsable de los datos asociados a ficheros, garantiza la confidencialidad y seguridad de sus datos de carácter personal cuando éstos son objeto de tratamiento, en la medida que tienen implantadas las políticas y medidas de índole técnico y organizativo necesarias para el tratamiento de datos personales, tal y como establece el artículo 9 de la Ley 15/1999. (…) El titular del dato podrá ejercitar en cualquier momento sus derechos de acceso, rectificación, cancelación y oposición mediante escrito dirigido a GRADOS DE EVOLUCION DEPORTIVA, o más directamente a la dirección de correo electrónico <info@gradosdeevoluciondeportiva.es>. (…)  También, constan formularios para cumplimentar con distintos perfiles como Perfil de la escuela/club o del deportista/técnico en los que es necesario cumplimentar: nombre y apellidos, DNI, correo electrónico y teléfono. Para ello es necesario marcar “Acepto ser incluido en una base de datos propiedad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 Grados de Evolución Deportiva para el tratamiento de mis datos de acuerdo con la Ley orgánica 15/1999”.  En la Zona de acceso de usuarios registrados: es necesario introducir Usuario y contraseña y marcar la casilla Aviso Legal que textualmente indica: “El acceso a esta web está restringido a personas autorizadas por IINS GRADOS DE EVOLUCIÓN DEPORTIVA. Todos los datos personales reflejados en este sitio web se encuentran amparados por la Ley Orgánica 15/1999, incluidos en un fichero registrado en la AEPD a nombre de IINS GRADOS DE EVOLUCIÓN DEPORTIVA y únicamente podrán ser utilizados por los usuarios para realizar consultas relativas al estado de sus pedidos. Esta web registra todos los accesos de los usuarios mediante un sistema de registro. Los datos se consideran totalmente confidenciales y no podrán ser tratados por ningún medio para cualquier otro fin. Su divulgación y/o tratamiento no consentido dará lugar a acciones legales contra los usuarios por IINS GRADOS DE EVOLUCIÓN DEPORTIVA. Al acceder a la intranet me considero informado de este aviso”.  Impresiones de la página web <gradosdeevoluciondeportiva.com> en el que consta un formulario de contacto en el que se debe cumplimentar: nombre, email y mensaje y Política de Privacidad indicando textualmente lo siguiente: “Esta página web utiliza Google Analytics, un servicio analítico web proporcionado por Google, Inc. ("Google“). Google Analytics utiliza las llamadas “cookies”, archivos de texto que se instalan en el ordenador y que hacen posible el análisis del comportamiento de los usuarios en Internet. La información que genera la cookie acerca del uso que realiza el usuario de la página web se transmite y se almacena generalmente en los servidores de Google de Estados Unidos. En caso de activar la opción de IP anónima en la página web, la dirección IP no aparecerá completa dentro de los países de la Unión Europea o en los demás países que así lo hayan acordado dentro del espacio económico de la Unión Europea. Solo excepcionalmente se transmitirá la dirección IP completa a un servidor de Google en Estados Unidos y una vez allí se acortará. Únicamente con autorización del usuario de la página, Google utilizará esta información con el fin de valorar el comportamiento del usuario en la página web, generar informes sobre las actividades de la web y ofrecer al dueño de la página servicios relacionados con el uso web y de Internet. La dirección IP transmitida por su navegador en el marco de Google Analytics no se asociará con otros datos de Google. El usuario puede evitar el almacenamiento de cookies configurando el navegador correspondientemente de manera que no se almacenen las cookies. Esta configuración puede afectar a la plena funcionalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 de la página web. Con el uso de esta web, el usuario está de acuerdo con el procesamiento de datos por Google de la forma anteriormente mencionada. El usuario también puede evitar el registro de los datos generados por las cookies y de los relacionados al uso de la página web (incluida la dirección IP), así como el procesamiento de los mismos descargando e instalando el siguiente plugin para el navegador disponible a través de este link: http://tools.google.com..... Más información acerca de los términos y condiciones de uso y política de privacidad en las condiciones de uso de Google Analytics o en las condiciones generales de Google Analytics. Ten en cuenta que en esta página el código de Google analytics incluye la etiqueta “gat._anonymizeIp(); que asegura la recolección de direcciones IP de manera anónima (máscara de IP)”. SEGUNDO.- A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias de investigación, teniendo conocimiento de que: 1 En el Registro Mercantil Central consta como administrador único G.G.G. de las sociedades CLIMB 2 UP, S.L., CIF B******, e Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L., CIF B******1, ambas con domicilio en (C/...1) (Madrid). El objeto social que consta del Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L. es “actividades de formación y como actividad singular la formación deportiva”. El objeto social que consta de CLIMB 2 UP, S.L., es “construcción, instalaciones y mantenimiento (…) turismo hostelería y restauración”. Dichas circunstancias se detallan en las Diligencias de fecha 11 de enero y de 18 de mayo 2016. 2 La Inspección de Datos ha comprobado que en la página web <www.whois.domaintools.com> consta que G.G.G. es el registrante y administrador del dominio <gradosdeevoluciondeportiva.com>, la organización es CLIMB2UP, S.L., con domicilio B.B.B., fecha de creación el 24 de febrero de 2014 y de expiración el 24 de febrero de 2017, teléfono H.H.H.. La dirección de correo electrónico del registrante es < C.C.C.>. Dichas circunstancias se detallan en la Diligencia de fecha 18 de mayo de 2016. 3 La Inspección de Datos ha comprobado que en la página web <www.nic.es> consta que la persona de contacto administrativo y técnico del dominio <gradosdeevoluciondeportiva.es> es C.C.C., con dirección de correo electrónico < C.C.C.>, con fecha de alta el 30 de septiembre de 2014 y de caducidad el 30 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 septiembre de 2017 y el agente registrador Configbox. Dichas circunstancias se detallan en la Diligencia de fecha 18 de mayo de 2016. 4 La Inspección de Datos ha requerido a la persona que consta como contacto administrativo y técnico del dominio <gradosdeevoluciondeportiva.es>, dirección correo electrónico < C.C.C.>, información de los titulares de ambos dominios. Dando respuesta, con fecha de 12 de julio de 2016, en el sentido de que ambos dominios fueron adquiridos por C.C.C., con intención de cederlos a la mercantil CLIMB2UP, S.L., y con posterioridad fueron cedidos a su actual propietaria la mercantil Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L., NIF B******1, con domicilio en (C/...1) (Madrid). Se adjunta factura emitida por Configbox Internet, S.L. por compra del dominio <gradosdeevoluciondeportiva.es>, de fecha 17 de mayo de 2016, a nombre de CLIMB2UP, S.L. con domicilio en (C/...2) (Cantabria). 5 La Inspección de Datos ha verificado que en la página web <gradosdeevoluciondeportiva.es> constan, entre otros, los siguientes apartados:  Formulario para inscribirse o recibir información  Aviso legal y política de protección de datos: Condiciones Generales de uso (…). Uso de cookies (Si se van a usar) (…) Política General de privacidad y protección de datos de carácter personal (…) Datos recogidos a través de formularios Zona de acceso de usuarios registrados. Cuyo contenido coincide con el descrito en la documentación facilitada por el denunciante. Dichas circunstancias constan en las impresiones de las consultas realizadas en la página web <gradosdeevoluciondeportiva.es> anexas a la Diligencia de fecha 4 de julio de 2016. 6 La Inspección de Datos ha verificado que en la página web <gradosdeevoluciondeportiva.com> constan, entre otros, los siguientes apartados:  Formulario de contacto.  Política de Privacidad: Esta página web utiliza Google Analytics, un servicio analítico web proporcionado por Google, Inc. ("Google“).(…). Cuyo contenido coincide con el descrito en la documentación facilitada por el denunciante. Dichas circunstancias constan en las impresiones de las consultas realizadas en la página web <gradosdeevoluciondeportiva.com> anexas a la Diligencia de fecha 4 de julio de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 7 La Inspección de Datos se ha puesto en contacto con el número de teléfono H.H.H., que consta como teléfono del registrante y administrador del dominio <gradosdeevoluciondeportiva.com>, habiendo comunicado el interlocutor que dicho número de teléfono es un bar y que no tienen relación con las compañías CLIMB2UP, S.L. e Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L. También se adjunta impresión de la consulta realizada al directorio de empresas de España <www.espanabd.com> en el que se asocia dicho número con un restaurante. Dichas circunstancias constan en la Diligencia de fecha 9 de septiembre de 2016. 8 En relación con la utilización de cookies en las páginas <www.gradosdeevoluciondeportiva.es> <www.gradosdeevoluciondeportiva.com> se ha verificado lo siguiente: web y  La actividad de las citadas páginas es la formación y certificación deportiva.  Con respecto a la página <www.gradosdeevoluciondeportiva.es>: utiliza de primera capa que informe ni que ofrezca un medio para obtener el consentimiento. Existe información sobre cookies en la página enlazada bajo el título “Aviso legal”, pero no se indica en el título del enlace que dicha página incluye información sobre DARD.  Con respecto a la página <www.gradosdeevoluciondeportiva.com>: utiliza de primera capa que informe ni que ofrezca un medio para obtener el consentimiento. Existe información sobre cookies en la página enlazada bajo el título “Política de Privacidad”, pero no indica en el título del enlace que dicha página incluye información sobre DARD. Dichas circunstancias constan en la Diligencia de fecha 13 de septiembre de 2016 9 La Inspección de Datos ha remitido sendos requerimientos a las compañías Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L. y CLIMB 2 UP, S.L., a la dirección que consta en el Registro Mercantil Central, habiendo sido devueltos a su origen con fecha de 11 de julio y de 14 de septiembre de 2016 respectivamente ambos por “desconocido”. Por otra parte, la Inspección de Datos se ha personado en la zona industrial (C/...1), habiendo concluido la inexistencia actual del Polígono ....., así como de su ubicación en la calle (C/...1), y de las sedes de las compañías Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L. y CLIMB 2 UP, S.L. Dichas circunstancias constan en la Diligencia de fecha 15 de septiembre de 2016. 10 En el Registro General de Protección de Datos figura inscrito el fichero denominado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 “GRADOSDEEVOLUCIONDEPORTIVA”, con el código ***CÓD.1, siendo responsable Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L., cuya finalidad es: información y registro de deportistas, registro de usuarios, (…). La fecha de inscripción inicial es el 9 de agosto de 2016. Dichas circunstancias constan en la Diligencia de fecha 5 de octubre de 2016. 11 El Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L., con fecha de 8 de octubre de 2016, da respuesta al escrito remitido a la compañía CLIMB2UP, S.L., a la dirección (C/...2), recepcionado por C.C.C., informando de lo siguiente:  Los dominios <www.gradosdeevoluciondeportiva.es> y <www.gradosdeevoluciondeportiva.com> son propiedad de la mercantil Instituto Internacional de Excelencia y Certificaciones Deportivas, S.L., con domicilio en la (C/...1), y que ha registrado el fichero en el RGPD con el código de inscripción ***CÓD.1.  No existe en sus archivos ningún alta ni registro a nombre de E.E.E., exclusivamente consta un registro incompleto a nombre de una persona que se identifica como E.E.E. y con un DNI distinto al que consta en la denuncia.  El denunciante no se ha puesto en contacto a través de la web con la misma, ni ha presentado en ningún formato reclamación o queja o ejercido los derechos de rectificación o cancelación, ni han recibido reclamación de ningún usuario.  El Aviso legal que contiene la página web consideran que informa sobre la política de cookies y hace unos meses procedieron a modificar los requisitos del artículo 5 de la Ley Orgánica 15/1999. TERCERO: Con fecha de 24/10/2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00399/2016. CUARTO: Con fecha de 2/02/2017 y 15/02/2017 se accedió a los sitios web.gradosdeevoluciondeportiva.es y gradosdeevoluciondeportiva.com, obteniendo impresión de pantalla a cerca de la información que se ofrece respecto del deber de información previsto en el art. 5 de la LOPD y el art. 22.2 LSSI. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en los artículos 36 y 37.a),

1. f)y
2. n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Personales (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 sucesivo LOPD) , y el artículo 43.1 párrafo segundo de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI) I la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. II Dispone el artículo 5 de la LOPD señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la entidad denunciada a través de la página web gradosdeevoluciondeportiva.es recoge datos de carácter personal. En fecha de 4/07/2016 se verificó la existencia de un formulario de recogida de datos – perfil del deportista/técnico- en la que tras la cumplimentación de los campos establecidos al efecto, el usuario aceptaba la inclusión de sus datos en una base de datos d la entidad titular de la página web. En el Aviso Legal constaba GRADOS DE EVOLUCIÓN DEPORTIVA como responsable del fichero ante quien ejercer los derechos ARCO, sin que constara la dirección donde dirigirse o medio a través del cual realizarlo. Asimismo se informaba (…)La finalidad del fichero es la gestión de los servicios o información solicitada, la realización de encuestas y estudios estadísticos y la remisión de información comercial o publicitaria sobre productos o servicios que puedan serle de interés. Asimismo autoriza expresamente que sus datos personales puedan ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 comunicados a usuarios, patrocinadores, etc.,(…) Expresiones como …que puedan ser de su interés…., patrocinadores,- sin concretar cuales- o incluso términos inconcretos como etc.,… hacen que se incumpla el art. 5 de la LOPD, pues el destinatario de dicha información no conoce a priori, sin asomo de duda, para qué y para quien van a ser comunicados los datos que proporciones. Sobre esta cuestión ha de observarse lo dispuesto en el art. 12.2 del RDLOPD (…) Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. (…) y art 45.1
8. b)del RDLOPD (…)1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
9. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.(…) En fecha de 02/02/2017 se accedió al sitio web gradosdeevoluciondeportiva.es donde se identifica a un titular de la página web con domicilio y dirección de correo electrónico e indicando donde y como pueden ejercerse los derechos ARCO y se mantenían términos como que pudiesen ser de su interés y se informaba de la cesión a colaboradores, proveedores y clientes del proyecto asociado a la presente website. Es decir, se mantienen los términos inconcretos sobre los que no puede sostenerse un consentimiento informado con las exigencias del precepto y la jurisprudencia. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Según se indica en el informe 0047/2009 del Gabinete Jurídico de la AEPD, esta Agencia <<ha venido indicando que la mera expresión “fines comerciales” no resulta suficiente para la identificación de la finalidad que justifica el tratamiento, exigida por el artículo 5.1.
10. a)de la Ley Orgánica 15/1999 y precisa para que el consentimiento pueda considerarse inequívoco, tal y como exige el artículo 2.
11. h)de dicha Ley. De este modo, debería especificarse en la cláusula que las acciones comerciales consistirán en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 remisión de comunicaciones publicitarias de los productos y servicios que se detallan en la cláusula>>. Asimismo en cuanto a las expresiones reseñadas dada su inconcreción y ambigüedad debe estarse a lo recogido en la Sentencia de la Audiencia Nacional de 30/11/2005 que señala que (…)«dados los inconcretos términos de dicha leyenda, no es posible entender que en ella se contenga la información precisa que se exige para que pueda hablarse de la existencia de un consentimiento inequívoco que habilite a la hoy demandante para conservar y tratar los datos, ni para cederlos a otras empresas (…)En definitiva, la leyenda examinada no cumple con las exigencias que la legislación sobre protección de datos requiere para la prestación del consentimiento, por no haberse facilitado una información expresa, precisa e inequívoca sobre las finalidades determinadas y explicitas para las que iban a tratarse dichos datos (…) Por todo ello se considera acreditada la infracción del art. 5 LOPD antes transcrito. Asimismo, ha resultado probado que la entidad denunciada a través de la página web gradosdeevoluciondeportiva.com recoge datos de carácter personal. En fecha de 4/07/2016 se verifico la existencia de un formulario de recogida de datos – contacto- respecto de la que no existe información relativa al tratamiento de datos que el usuario proporciona al cumplimentar dicho formulario. En fecha de 02/02/2017 y 15/02/2017 se accedió al sitio web gradosdeevoluciondeportiva.com verificándose idénticas condiciones anteriormente descritas, que llevan a la misma conclusión: los usuarios de las citadas páginas webs que introduzcan sus datos personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. El titular de los datos personales objeto de tratamiento, debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. En conclusión la entidad denunciada vulnera lo dispuesto en el art. 5 de la LOPD, suponiendo la infracción leve prevista en el art. 44.2
12. c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 III El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
13. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
14. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
15. a)y
16. b)del citado apartado 6 del artículo 45 de la LOPD, requiriéndose a la entidad denunciada para que incluya la información relativa del art. 5 de la LOPD en la recogida de los datos que realice. IV Los hechos objeto de imputación del presente expediente constituyen también la infracción a lo previsto en el artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, que dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. V El Anexo de la LSSI define en su apartado
17. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
18. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L. - como propietario de los dominios objeto de investigación tal como se informó a esta Agencia mediante escrito de 6/10/2016 - y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. VI En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que al inicio de las actuaciones de inspección, los sitios web denunciados no ofrecían información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI. El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, lo relevante es cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Si bien Guía de Cookies de la AEPD no tiene naturaleza normativa, corresponde a este organismo velar por el cumplimiento de la obligación de informar interpretando el citado precepto, a fin de que los usuarios otorguen su consentimiento en óptimas condiciones y por tanto la interpretación del artículo, es decir, que exista información clara y completa, por lo que cualquier información no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 suficiente, sino que deberá estar estrechamente vinculada con el tipo de DARD que se descarguen en los terminales de los usuarios. En este sentido debe recordarse que la “Guía sobre el uso de cookies”, ofrece indicaciones al respecto, proponiendo un sistema de información por capas. De modo que la segunda capa complemente a la primera. En la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento. En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido indicando, singularmente en la Guía sobre el uso de cookies, que dicha información adicional y complementaria de la primera, debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar la cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, debe en esta segunda capa ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, el suministro de la información adicional en una segunda capa por grupos de cookies, da cumplimiento al precepto, siempre que exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en el citado cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. VII Relacionando dichas exigencias con la información ofrecida por INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L. en las pruebas realizadas sobre DARD en su página web se efectúan las siguientes consideraciones: En fecha de 13/09/2016 se verificó que las páginas web analizadas descargaban DARD de terceros con finalidades de análisis de actividad de la web, y de visualización de videos, respecto de las que no se informaba a través de un aviso de primera capa o similar al acceder a las mismas. No existía un aviso que informara ni que ofrecía un medio para obtener el consentimiento informado para su descarga e instalación. Respecto del sistema adicional de información a través de una segunda capa, en cuanto al sitio web con dominio .es, existía información sobre DARD en la página enlazada bajo el título “Aviso Legal”, en un apartado denominado USO DE COOKIES, respecto de la que no se puede conocer, el tipo de cookie, el dominio bajo el que se instalan, el responsable, la duración etc.,. ni información respecto del modo de configurar los principales navegadores de internet para eliminar o impedir el uso de DARD. Respecto del sistema adicional de información a través de una segunda capa, en cuanto al sitio web con dominio .com , existía información sobre DARD en la página enlazada bajo el título “Política de Privacidad”, que no informa sobre el titular de las configurar los principales navegadores de internet para eliminar o impedir el uso de DARD. Por tanto no puede entenderse que las citadas páginas webs se proporcionara información suficiente al usuario para otorgar su consentimiento informado, para permitir el uso de DARD. En fecha de 02/02/2017 se accedió a las páginas webs objeto de análisis verificándose lo siguiente: Al acceder al sitio web con dominio .es se mostraba un mensaje en una primera capa donde se informa de el uso de DARD para el análisis y se ha acreditad el uso de las denominadas _ga y _gat a cuyo fin obedecen. Por lo expuesto, se determina que respecto de este sitio web, a pesar de que al inicio de las comprobaciones existían informativas en cumplimiento del art. 22.2 de la LSSI, tras las comprobaciones realizadas se puede concluir que se corrigieron las deficiencias acreditadas. Sin embargo, al acceder al sitio web con dominio .com se mostraba un mensaje C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 en una primera capa donde se mantienen las circunstancias verificadas en el acceso de fecha 13/09/2016, lo que supone el incumplimiento del deber de obtener el consentimiento informado para la descarga e instalación de dispositivos de almacenamiento y recuperación de datos de acuerdo con el art. 22.2 de la LSSI. La conducta descrita está tipificada como leve en el artículo 38.4.
19. g)de la citada norma, que señala como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.” VIII En conclusión, respecto de la vulneración del art. 22.2 de la LSSI, se insta a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L.. para que introduzca el sistema de información en la página web gradosdeevoluciondeportiva.com que permita obtener el consentimiento informado de los usuarios que accedan a dicha página, para la descarga e instalación de DARD, incluyendo un sistema de información al acceder -en el sentido de que se deduzca claramente el tipo de DARD instalados y se permita acceder al enlace que aloja la Política de Cookies, desde cualquier subdominio de la citada y otro mediante un enlace permanente-. Asimismo en cuanto al contenido de la información en dicho enlace deben cumplirse las exigencias del art. 22.2 de la LSSI a cuyo fin se hace remisión a las indicaciones realizadas en el Fundamento de Derecho VI de la presente resolución. En relación con la vulneración del art. 5 de la LOPD, se insta a la citada entidad para que adecue la información ofrecida en las páginas web analizadas a dicho precepto cuando recoja datos de carácter personal a través de los formularios, de acuerdo con lo descrito en el Fundamento de Derecho II de la presente resolución. IX En el art. 45.6 de la LOPD y en el art. 39 bis 2 de la LSSI, se advierte de que las medidas requeridas deberán adoptarse por la entidad denunciada y comunicarlas, con la advertencia que de no hacerlo procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- APERCIBIR (A/00399/2016) a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 la citada norma, tipificada como leve en su artículo 38.4.g). SEGUNDO.- APERCIBIR (A/00399/2016) a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
20. c)de la citada Ley Orgánica. TERCERO.- REQUERIR a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L. de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto y que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, tal como se señala en el Fundamento de Derecho VIII de la presente Resolución. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. CUARTO.- NOTIFICAR el presente Acuerdo a INSTITUTO INTERNACIONAL DE EXCELENCIA Y CERTIFICACIONES DEPORTIVAS, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es