1/17 Procedimiento Nº: EXP202103404 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, DOSFARMASHOP ONLINE, S.L. con CIF: B30877856, titular de la página web, ***URL.1, (en adelante “la parte reclamada”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 24/08/21, tuvo entrada en esta Agencia, escrito presentado por D. A.A.A., (en adelante, “reclamante 1”), en la que indicaba, entre otras, lo siguiente: “Al acceder a la página ***URL.1 aparece en la parte inferior el banner para configurar siempre y no se puede denegar el acceso a ninguna de las no esenciales”. SEGUNDO: Con fecha 30/08/21, tuvo entrada en esta Agencia, escrito presentado por Dª. B.B.B., (en adelante, “reclamante 2”), en la que indicaba, entre otras, lo siguiente: “El sitio web ***URL.1 no permite al usuario ni la elección de cookies, ni la configuración de estas. Aunque en la ventana emergente del sitio web se muestra una opción de "configurar cookies" dicha opción sólo permite leer información acerca de las mismas. Como usuario no he podido desactivar ninguna, pues no se muestra esa opción, viéndome obligada a aceptarlas todas”. TERCERO: Con fecha 03/10/21, tuvo entrada en esta Agencia, escrito presentado por D. C.C.C., (en adelante, “reclamante 3”), en la que indicaba, entre otras, lo siguiente: “Considero que el reclamado incumple varios puntos del RGPD y la LOPDGDD. En concreto: Está tratando mis datos personales sin mi consentimiento expreso. El ejercicio mi derecho de acceso y la información que me envían está incompleta. Han cedido mis datos personales a un tercero (establecido en Alemania) sin mi consentimiento. Me envían publicidad (11 mensajes en 21 días) sin mi consentimiento. No permiten configurar las "cookies" en su página web para rechazar las que no sean técnicas o estrictamente funcionales. De todo ello he informado al reclamado hace más de un mes sin que lo haya corregido o me haya dado respuesta satisfactoria. Junto con el escrito de reclamación, se presenta la siguiente documentación: a).- Copia del correo electrónico recibido en su dirección de correo, enviado desde la dirección: ***EMAIL.1, el 21/08/21, con el siguiente mensaje: “Su garantía de Trusted C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Shops XXXXXXXX. Estimado cliente, Le agradecemos que se haya registrado a la garantía de Trusted Shops al hacer su pedido en dosfarma (…)”. b).- Copia del correo electrónico enviado desde su dirección de correo, el 21/08/21 a la dirección, ***EMAIL.2 con el siguiente mensaje: “En relación con la política de privacidad que figura en su página web, adjunto formulario para ejercer mi derecho de acceso (Derecho Acceso.pdf). No adjunto fotocopia DNI al ir firmado digitalmente. (…) - En ningún momento a la hora de registrarme y/o realizar el pedido se me ha solicitado autorización expresa para el tratamiento de mis datos personales. Sin embargo, acabo de recibir un correo de "Trusted Shop", empresa ajena a Dosfarma, en relación con el pedido realizado sin que yo haya facilitado a dicha empresa mis datos personales(…)”. c).- Copia del correo electrónico recibido el 31/08/21, en la dirección del reclamante y enviado desde la dirección ***EMAIL.3, con el siguiente mensaje: “Somos el Delegado de Protección de Datos de Dosfarma. En relación con tu correo, te adjuntamos en un PDF los datos que Dosfarma tiene de ti, que es la ficha de cliente. Estos datos se utilizan exclusivamente para mantener tu ficha como cliente y gestionar tus pedidos y los mantenemos activos hasta que el cliente nos solicite la baja. No realizamos transferencias internacionales de tus datos personales, y tus datos personales solo se han comunicado a la empresa de paquetería para hacerte llegar el pedido. Igualmente, no existen decisiones automatizadas ni elaboraciones de perfiles. Respecto a Trusted Shop; al finalizar la compra se ofrece a los clientes la posibilidad de obtener una garantía adicional de forma gratuita, a través de Trusted Shops. Si el usuario hace clic en "Asegurarse de forma gratuita", se formaliza el proceso y se obtiene esa garantía adicional. Seguramente cuando terminaste tu compra cogiste esta garantía y por eso recibiste el email de Trusted Shops. Te adjuntamos una captura de pantalla de cómo se ve cuando terminas la compra y el mensaje de Trusted Shops junto con ese botón que te mencionaba antes. Estamos a tu disposición para cualquier duda que tengas”. d).- Copia del correo electrónico enviado desde la dirección del reclamante, el 31/08/21 a las direcciones, ***EMAIL.3 y ***EMAIL.2 con el siguiente 1) ¿En qué momento otorgué mi consentimiento expreso para el tratamiento de mis datos personales? Actualmente he visto que han modificado el procedimiento para darse de alta como cliente, siendo requisito aceptar la Política de Privacidad. Algo que no sucedió cuando yo me di de alta. 2) En mi ficha de cliente parece que he aceptado recibir "ofertas de asociados". De nuevo, ¿en qué momento he dado mi consentimiento expreso? 3) ¿Por qué no indican en su Política de Privacidad (adjunta a mi correo anterior, de fecha 21/08) que cederán mis datos a una empresa de transporte? 4) La garantía de Trusted Shops no es opcional, no es algo que yo como cliente pueda decidir coger o no. Como se puede ver en el vídeo adjunto que acabo de grabar realizando un pedido, es algo que se aplica de manera unilateral por parte de Dosfarma. Así, se realiza una cesión de datos no autorizada por parte de Dosfarma a un tercero (empresa alemana). También les adjunto el correo que, de nuevo, recibo por parte de Trusted Shop a raíz de esa cesión de datos no autorizada que realizan como se observa en el vídeo. 5) Las cookies no pueden configurarse para rechazar las que no sean técnicas o estrictamente funcionales, tal y como indican en el banner de cookies y las respectivas políticas (Privacidad y Cookies). De nuevo, he grabado un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 vídeo, donde se puede apreciar que las cookies de terceros no se pueden rechazar, teniendo que aceptarlas "sí o sí" para poder navegar. e).- Copia de 12 correos electrónicos recibidos en la dirección del reclamante, enviados desde la dirección ***EMAIL.4, conteniendo mensajes promocionales o publicitarios, los días, 13/09/21; 15/09/21; 18/09/21; 20/09/21; 22/09/21; 24/09/21; 27/09/21; 28/09/21; 30/09/21; 01/10/21 y 03/10/21. En la parte inferior de cada correo electrónico existe el siguiente mensaje: “DOSFARMASHOP ONLINE S.L Recibes este correo porque te has suscrito a la lista de DosFarma o porque has proporcionado tu dirección de correo en algún evento realizado, y creemos que la información proporcionada puede ser de tu interés. <<Cancelar suscripción>> | Reenviar email Si no puedes ver correctamente este email haz click <<aquí>>”. CUARTO: Con fecha 27/10/21 y 03/11/21, y de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, por parte de esta Agencia se dio traslado de los escritos de reclamación recibidos a la parte reclamada para que diese respuesta sobre los puntos indicados en los mismos. QUINTO: Con fecha 24/11/21, la entidad reclamada envía escrito de contestación a esta Agencia, en el cual, entre otra, indica: “Esta parte desconoce la identidad del reclamante por lo que desconocemos igualmente qué ha podido motivar al reclamante a presentar esta reclamación. Dosfarmashop Online recibe solicitudes de ejercicio de derechos muy frecuentemente, resolviéndolas todas puntualmente sin que tengamos constancia de ningún usuario descontento ni de ninguna otra queja previa. Esta Agencia nos ha notificado casi en el mismo día otras dos reclamaciones, una relacionada también con las cookies y otra respecto a la no atención de un ejercicio del derecho de acceso. Por tanto, no podemos indicarle a esta Agencia qué ha podido causar la presentación de esta reclamación. Es posible que si el usuario navega por nuestro portal y tiene instalada en su navegador alguna extensión de bloqueo de pop-ups o de publicidad, esté bloqueando el aplicativo para la gestión de las cookies, así como el propio banner de la primera capa. Dosfarmashop Online tiene contratado un servicio externo para el cumplimiento normativo de protección de datos. La redacción de la política de privacidad de la web va evolucionando según se detecta la necesidad de modificarla según los tratamientos efectuados, formularios de recogida de datos, etc. La web de Dosfarmashop Online lleva en activo desde el año 2015; desde entonces su política de privacidad ha sufrido multitud de modificaciones y actualizaciones según las imposiciones legales del momento. Desde año 2020 existe un protocolo por el cual, antes de desplegar una nueva funcionalidad que pudiera tener impacto en la normativa de protección de datos, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 cuestiona con el personal externo contratado para el cumplimiento normativo a los efectos de que puedan preparar las modificaciones en los textos legales. La política de privacidad actual contiene, además de todos los elementos exigidos por el artículo 13 del RGPD, una versión resumida del Registro de Actividades de Tratamiento aplicable a la página web, un resumen del significado de cada uno de los derechos reconocidos por la normativa de protección de datos, así como una vía de contacto directo con el DPD para el caso de querer ampliar la información. Sobre las medidas adoptadas para la adecuación de las cookies a la LSSI, en febrero de 2021 se adquirió la herramienta de análisis y gestión de consentimiento para OneTrust1 Dicha herramienta se desplegó en producción a finales de febrero de 2021, y es la herramienta que está funcionando hoy en día. Periódicamente se verifica que el aplicativo funcione correctamente realizando auditorías de cookies, En el caso concreto de dosfarma.com, lo que muestra en la primera visita sin haber consentido ninguna cookie es lo siguiente: Como se puede comprobar, las únicas carrito de la compra y la propia cookie de gestión del consentimiento para las cookies. Se verifica tanto que no se estén instalando cookies sin el consentimiento previo, así como la información suministrada al usuario. Por otro lado, la información de la primera capa del aviso de cookies se ha redactado siguiendo las recomendaciones de esta Agencia en su Guía de Cookies, informando de las finalidades concretas, y que si se consiente se utilizarán cookies de Google Analytics y Facebook para fines analíticos facilitando un enlace para ampliar más información sobre las cookies utilizadas. En concreto, el texto que se muestra a los usuarios es el siguiente: “Utilizamos navegación (por ejemplo, páginas visitadas) gracias a los servicios de Google Analytics y de Facebook. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso pulsando el botón “Configurar”. Clica AQUÍ para más información”. Dentro del configurador de las cookies todas las cookies excepto las técnicas necesarias para el funcionamiento de la web (en concreto, las cookies necesarias de Prestashop para que el carrito de la compra sea operativo) vienen desactivadas por defecto. Es el usuario el que puede configurar las cookies que desea que se activen a través del botón “configurar”. Si por el contrario el usuario pulsa en el botón “aceptar” todas las cookies de la web serán instaladas automáticamente tal y como se le informa. Por otro lado, dentro del configurador de cookies existe una descripción detallada de cada tipo de cookie. La siguiente captura de pantalla muestra una visita de incógnito y la apertura del configurador para las cookies de rendimiento, donde se puede apreciar que viene desactivado por defecto, el banner de cookies sin aceptar y el texto descriptivo de las cookies de tipo rendimiento. Si se hace clic en “Información sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 indicación del nombre de la cookie, host, categoría, descripción y si es propia o de terceros: El usuario puede acceder en todo momento a este configurador de cookies para, en su caso, retirar el consentimiento que hubiera prestado, así como acceder a toda la información sobre cookies, a través de un enlace “Ajustes de cookies”: Esta es la forma de gestionar las cookies desde febrero de 2021. Anterior a esta fecha existía un mecanismo propio con similares características, pero se decidió utilizar la herramienta de OneTrust por su fiabilidad a la hora de analizar y gestionar las cookies. Respecto a la decisión adoptada a raíz de esta reclamación. Dosfarmashop Online ha ordenado la elaboración de un documento explicativo sobre el funcionamiento de las consultas sobre las cookies, así como para colgarlo en la web en el apartado de las página. SEXTO: Con fecha 30/11/21, la entidad reclamada envía un nuevo escrito de contestación a esta Agencia, sobre las cuestiones planteadas por el “reclamante 3”, en el cual, entre otra, indica: “Dosfarmashop Online recibe solicitudes de ejercicio de derechos muy frecuentemente, resolviéndolas todas puntualmente sin que tengamos constancia de ningún usuario descontento ni de ninguna otra queja previa. Tal y como consta en la documental aportada por el reclamante, el reclamante ejerció el derecho de acceso el 21/08/21 mediante correo dirigido a ***EMAIL.2. Consta también en la documental aportada por el reclamante que el día 31/08/21se le dio respuesta al ejercicio del derecho de acceso, donde se le indicaba:
- a)El origen de los datos, que en este caso era por haberse registrado como cliente en la web de Dosfarmashop.
- b)Las finalidades del tratamiento de los datos aportados, que lo eran con relación a la gestión de sus pedidos y mantener su ficha como cliente.
- c)La inexistencia de transferencias internacionales de datos.
- d)Los posibles destinatarios a los que Dosfarmashop ha podido facilitar sus datos, que, en este caso concreto, se limitaba a la empresa de paquetería para hacerle llegar su pedido.
- e)Inexistencia de decisiones automatizadas de datos.
- f)Los plazos de conversación de datos, que en su caso se le indicó que, dado que es cliente activo de la web, sus datos se mantendrían en Dosfarmashop hasta que solicitara su baja, de esta forma, puede acceder a su historial de pedidos, perfil de cliente, realizar nuevas compras, etc. Además de lo anterior, se aportó una captura de pantalla de la ficha completa en el sistema de gestión de clientes de Dosfarmashop, donde el propio reclamante podía consultar todos los datos de los que dispone el responsable del tratamiento. Igualmente se quedó a disposición del reclamante para cualquier duda que tuviera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 El reclamante respondió el mismo 31/08/21 a la respuesta sobre el derecho de acceso planteando cuestiones que escapan al propio ejercicio del derecho de acceso o volviendo a cuestionar lo que ya se le había respondido, advirtiendo el reclamante que de no responder a su mensaje se elevaría reclamación ante esta Agencia. Respecto a la acreditación de la respuesta facilitada al reclamante: Aunque la respuesta facilitada ya consta en la reclamación, pues el reclamante ha aportado el hilo de emails cruzados, se aporta como DOCUMENTO UNO hilo de mensajes enviados y recibidos en respuesta a la solicitud del derecho de acceso, así como imagen de la ficha de cliente que se le facilitó al reclamante en su momento. En esta imagen de la ficha de cliente se puede constatar el recorrido que tuvo el cliente en Dosfarmashop Online durante el día 21 de agosto: A las 17:42 horas el usuario se registra y confirma su dirección de email. A las 17:49 confirma el pedido. A las 17:49 realiza el pago del pedido. A las 18:14 el usuario firma electrónicamente la solicitud de ejercicio de derecho de acceso que posteriormente enviaría por email a las 18:29 horas. Dosfarmashop Online recibe multitud de ejercicios de derechos sin que hasta ahora conste ninguna otra reclamación por este motivo ni tampoco conste ningún cliente descontento por no haber sido atendida su solicitud. Al contrario, Dosfarmashop Online tiene adoptada una política de acercamiento y transparencia en materia de privacidad con sus usuarios, y las consultas y dudas sobre el tratamiento de sus datos personales siempre son atendidas de forma personalizada y con especial dedicación. Respecto a si se ha dado respuesta al reclamante a raíz de esta reclamación. Por parte de Dosfarmashop Online no se ha realizado ninguna comunicación a raíz de la reclamación toda vez que toda la información de la que dispone esta mercantil con relación al reclamante ya le fue facilitada, como el mismo reclamante ha reconocido y aportado en su reclamación, el día 31 de agosto de 2021. Sobre las medidas adoptadas para la adecuación de las cookies a la LSSI. En febrero de 2021 se adquirió la herramienta de análisis y gestión de consentimiento para OneTrust1. Como se puede comprobar, las únicas cookies que se cargan son las técnicas de Prestashop para que pueda funcionar el carrito de la compra y la propia cookie de gestión del consentimiento para las cookies. Se verifica tanto que no se estén instalando cookies sin el consentimiento previo, así como la información suministrada al usuario. Por otro lado, la información de la primera capa del aviso de cookies se ha redactado siguiendo las recomendaciones de esta Agencia en su Guía de Cookies, informando de las finalidades concretas, y que si se consiente se utilizarán cookies de Google Analytics y Facebook para fines analíticos facilitando un enlace para ampliar más información sobre las cookies utilizadas. En concreto, el texto que se muestra a los usuarios es el siguiente: “Utilizamos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 navegación (por ejemplo, páginas visitadas) gracias a los servicios de Google Analytics y de Facebook. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso pulsando el botón “Configurar”. Clica AQUÍ para más información”. Dentro del configurador de las cookies todas las cookies excepto las técnicas necesarias para el funcionamiento de la web (en concreto, las cookies necesarias de Prestashop para que el carrito de la compra sea operativo) vienen desactivadas por defecto. Es el propio usuario el que puede configurar las cookies que desea que se activen a través del botón “configurar”. Si por el contrario el usuario pulsa en el botón “aceptar” todas las cookies de la web serán instaladas automáticamente tal y como se le informa en la primera capa. Por otro lado, dentro del configurador de cookies existe una descripción detallada de cada tipo de cookie. La siguiente captura de pantalla muestra una visita de incógnito y la apertura del configurador para las cookies de rendimiento, donde se puede apreciar que viene desactivado por defecto, el banner de cookies sin aceptar y el texto descriptivo de las cookies de tipo rendimiento. Si se hace clic en “Información sobre las cookies” aparece un desplegable con la información específica de cada cookie, con indicación del nombre de la cookie, host, categoría, descripción y si es propia o de terceros: El usuario puede acceder en todo momento a este configurador de cookies para, en su caso, retirar el consentimiento que hubiera prestado, así como acceder a toda la información sobre cookies, a través de un enlace “Ajustes de cookies”: Además, en la política de privacidad existe un apartado dedicado a las cookies con información ampliada sobre las cookies, como su identificación, caducidad, etc. Esta es la forma de gestionar las cookies desde febrero de 2021. Anterior a esta fecha existía un mecanismo propio con similares características, pero se decidió utilizar la herramienta de OneTrust por su fiabilidad a la hora de analizar y gestionar las cookies. Respecto a las medidas implementadas para evitar reclamaciones futuras por esta misma circunstancia, Dosfarmashop Online cuenta en la actualidad con un protocolo para la atención de los derechos ejercidos por sus usuarios. En concreto tiene habilitada una dirección de correo electrónico (***EMAIL.2) dedicada en exclusiva para estas cuestiones; esta dirección de correo electrónico es atendida por el DPD, dando salida con agilidad y rigor a las solicitudes planteadas por sus usuarios. Este protocolo viene desplegado y funcionando desde agosto del año 2020 sin que se haya producido ninguna incidencia ni se tenga constancia de queja alguna. Con relación a cualquier otra circunstancia que se considere relevante. El reclamante manifiesta igualmente en su reclamación que Dosfarmashop Online habría comunicado sus datos a la sociedad Trusted Shops sin su consentimiento. Esto no es correcto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Tal y como se le explicó al usuario en el mensaje de correo electrónico de 31 de agosto, cuando un usuario finaliza la compra de un producto se le ofrece la posibilidad de contratar con Trusted Shops una garantía adicional. Esta oferta se le presenta en modo de banner, donde consta tanto la información esencial sobre la ampliación de garantía, así como un botón con el texto “Asegurarse de forma gratuita” y unos enlaces a las políticas de privacidad y del servicio de Trusted Shops. Si el cliente le da al botón indicado, se le introduce en el procedimiento para ampliar la garantía lo que implica registrarse en Trusted Shops. A partir de ese momento el cliente pasa a tener una cuenta en la plataforma de Trusted Shops, completamente independiente de la de Dosfarmashop Online. En sucesivas compras que el cliente realice ya no se le mostrará el banner con la opción de conseguir esa garantía adicional porque ya la tiene contratada y directamente se le muestra otro banner (el aportado por el reclamante) donde ya se le informa que su compra ha quedado protegida porque es cliente de Trusted Shops. Todo este proceso se realiza de forma consciente por el usuario porque es necesaria su interacción comenzando tras el clic en el botón “Asegurarse de forma gratuita”. Se adjunta como DOCUMENTO TRES, captura de pantalla del banner que aparece la primera vez que se realiza una compra en Dosfarmashop Online. Respecto a la manifestación realizada de que estaría recibiendo comunicaciones comerciales sin consentimiento, indicar que es la primera noticia que tenemos al respecto por parte del reclamante. Ni en su escrito donde ejercía el derecho de acceso manifestaba estar recibiendo comunicaciones comerciales sin consentimiento o que deseaba dejar de recibir comunicaciones comerciales ni en esta reclamación ha aportado documentación alguna donde muestre dichas comunicaciones comerciales sin consentimiento, por lo que no sabemos a qué puede estar haciendo referencia. Todos los emails comerciales que envía Dosfarmashop o han sido previamente consentidos por el usuario o se realizan al amparo de lo establecido en apartado segundo del artículo 21 de la LSSI-CE. Además, los usuarios registrados tienen la posibilidad de modificar la configuración sobre la recepción o no de estas comunicaciones en su panel de control de usuario registrado en la pestaña “Datos Personales” y, en cualquier caso, en cada comunicación existe un enlace para poder cancelar la suscripción de comunicaciones en cualquier momento. SEPTIMO: Con fechas 30/11/21 y 03/11/21, por parte de la Directora de la Agencia Española de Protección de Datos se dictan acuerdos de admisión de trámite de las reclamaciones presentadas, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. OCTAVO: Con fecha 10/02/22, por parte de la Subdirección General de Inspección de Datos de esta Agencia, de conformidad con lo estipulado en el artículo 67 de la LOPDGDD, se realizaron las siguientes actuaciones de comprobación en la página web ***URL.1, con respecto al tratamiento de los datos personales que realiza, su “Política de Privacidad” y su “Política de Cookies”, constatando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 A).- Sobre la obtención de los datos personales de los usuarios: 1º.- A través del enlace <<identifícate>>, situado en la parte superior de la página principal, la web redirige a una nueva página “Crear una nueva cuenta” ***URL.2 donde se pueden introducir datos personales de los usuarios como el nombre, apellidos, dirección de correo y fecha de nacimiento. Antes de poder enviar el formulario de inscripción, el usuario debe cliquear la opción: _ Acepto la <<política de privacidad>> y el tratamiento de mis datos *. Si el usuario desea recibir comunicaciones comerciales, debe cliquear en la opción: _ Recibir ofertas y descuentos para futuras compras de Dosfarma”, Además de todo ello, existe, en este formulario, la siguiente información: “El Responsable del tratamiento es DOSFARMASHOP ONLINE, S.L. La finalidad del tratamiento es registrar tu cuenta como usuario en nuestro portal y en su caso, enviarte propuestas comerciales relacionadas con productos previamente adquiridos. Puedes ejercer los derechos relativos a protección de datos: acceso, rectificación, supresión, limitación y portabilidad. Más información en nuestra Política de Privacidad”. 2º.- También existe la posibilidad de obtener datos personales de los usuarios que desean trabajar en la entidad, a través del enlace “Trabaja con nosotros”, situado en la parte inferior de la página principal, a través del cual, la web redirige al usuario a la página ***URL.3, donde se puede introducir datos personales de los demandantes de empleo y colgar su currículum vitae. Antes de poder enviar el formulario de solicitud de empleo, el interesado debe aceptar la “Política de Privacidad de la compañía” cliqueando en la siguiente casilla: _ DOSFARMASHOP ONLINE SL, NIF: B30877856 CALLE BUCAREST, 95 CARTAGENA – MURCIA Teléfono: 968977968; Email: ***EMAIL.2 Para ello acepto la <<Política de Privacidad>> B).- Sobre la “Política de Privacidad”: 1º.- Si se accede a la “Política de Privacidad” de la web, a través de los enlaces existentes en los formularios indicados anteriormente, o a través del enlace existente en la página principal, la web redirige a una nueva página ***URL.4, donde se proporciona información sobre: 1. responsables del tratamiento. 2. finalidades del tratamiento. 3. base legal para el tratamiento de datos personales. 4. categorías y tipos de datos personales. 5. datos personales de terceros. 6. destinatarios de los datos. 7. transferencias internacionales de datos. 8. plazos de conservación. 9. Derechos. 10. modificación de la política de privacidad C).- Sobre la Política de Cookies: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 1.- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se no se utilizan cookies que no son técnicas o necesarias 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: Utilizamos cookies propias y de terceros para fines analíticos a partir de tus hábitos de navegación (por ejemplo, páginas visitadas) gracias a los servicios de Google Analytics y de Facebook. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso pulsando el botón “Configurar”. Clica <<AQUÍ>> para más información. <<Aceptar>> <<Configurar>> 3.- Si se accede al panel de control de cookies a través del enlace <<Configurar>>, la web despliega una página o panel de control donde las cookies se encuentran divididas por grupos según su funcionalidad. “Siempre activas” OFF ON OFF ON OFF ON <<Confirmar mis preferencias>> <<Permitir Todas>> Si se opta por confirmar las preferencias sin haber aceptado ninguno de los grupos de sigue sin utilizar cookies que no sean técnicas o necesarias. 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner sobre cookies de la primera capa o a través del enlace existente en la parte inferior de la pagina principal, la web redirige a una nueva página, ***URL.4 donde se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad, además de cómo administrar las cookies a través de los navegadores instalados en el equipo terminal de usuario. FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II.- Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la web ***URL.1: Se ha podido constatar que en la web se pueden obtener datos personales de los usuarios que desean darse de alta para realizar compras on-line o que desean trabajar en la entidad, a través de los enlaces correspondientes. No obstante, antes de poder enviar cualquiera de los dos formularios, el usuario debe cliquear obligatoriamente en la casilla de haber leído y aceptado su política de privacidad. Por su parte, si se accede a la “Política de Privacidad”, a través de los enlaces existentes en los formularios o a través del enlace existente en la parte inferior de la página principal, la web proporciona información sobre la identidad del responsable de la página; de dónde obtienen los datos personales, la finalidad del tratamiento de dichos datos, el tiempo de conservación de los mismos y los derechos que asisten a los usuarios en lo que respecta a sus datos personales, ante quien realizarlo y cómo hacerlo, así como, la posibilidad de presentar una reclamación ante la autoridad nacional de control, esto es, ante la AEPD. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de obtener sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la gestión de los datos personales que realiza la página web, ***URL.1 no se contradice con lo estipulado en el RGPD respecto al consentimiento en el tratamiento de los datos personales y a la información que se debe proporcionar al interesado cuando se obtienen de él, sus datos personales. III.- Sobre la Política de Cookies de la página web ***URL.1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se ha comprobado que se no se utilizan cookies que no sean técnicas o necesarias. El banner de información sobre cookies en la página principal informa de la utilización de cookies propias y de terceros para fines analíticos. También indica que se pueden aceptar todas las cookies o configurarlas o rechazarlas en el panel de control, proporcionando un enlace directo al mismo. Si se accede al panel de control, se comprueba que las cookies se encuentran divididas por grupos según su funcionalidad, estando todos los grupos de cookies premarcados en la opción de “no aceptados”. Si se opta por confirmar las preferencias sin haber aceptado ningún grupo de cookies, pretendiendo con ello, rechazar todas las cookies, se comprueba como la web sigue sin utilizar cookies que no sean técnicas o necesarias. Si se accede a la “Política de Cookies”, se informa al usuario de qué son las cookies, qué tipos de cookies utiliza el sitio web; se identifican las cookies que utiliza el sitio web, su funcionalidad y el tiempo de actividad, además de cómo administrar las En este sentido, el artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, establece que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. IV.- Sobre lo indicado por del reclamante 3, con respecto a la cesión de sus datos personales a un tercero sin su consentimiento. Según afirma la entidad reclamada, cuando un usuario finaliza la compra de un producto se le ofrece la posibilidad de contratar con la entidad Trusted Shops (radicada en Colonia, Alemania) una garantía adicional de compra. Esta oferta se le presenta al usuario en modo de banner, donde consta tanto la información esencial sobre la ampliación de la garantía, como un botón con el texto <<Asegurarse de forma gratuita>> y unos enlaces a las políticas de privacidad y de servicio de Trusted Shops. Si el cliente cliquea el botón <<asegurarse de forma gratuita>>, se le introduce en un proceso para ampliar la garantía, registrándose en la entidad Trusted Shops. A partir de ese momento el cliente pasa a tener una cuenta en la plataforma de Trusted Shops, completamente independiente de la de Dosfarmashop Online. En sucesivas compras que el cliente realice ya no se le mostrará el banner con la opción de conseguir esa garantía adicional porque ya la tiene contratada y directamente se le muestra otro banner (el aportado por el reclamante) donde ya se le informa que su compra está protegida al ser cliente de Trusted Shops. Respecto a todo ello, la entidad adjunta como la captura de pantalla del banner que aparece la primera vez que se realiza una compra en Dosfarmashop Online, Se ha podido constatar, por parte de esta Agencia que, la primera vez que se realiza una compra en la tienda on-line de la web ***URL.1 , ésta proporciona la opción voluntaria de adherirse al servicio de un “Seguro de Compra”, con la entidad Trusted Shops a través del banner “Asegura Tu Compra”. Se comprueba, además que, existen en el banner un enlace a la “Políticas de Privacidad” de esta entidad: <<condiciones generales, aviso de legalidad & protección de datos>> Una vez aceptado el servicio de “Seguro de Compra” aparece el siguiente mensaje: “Tu compra está asegurada con hasta 2.500 euros con Trusted Shops”, junto con un enlace a las condiciones de compra y protección de datos. Una vez aceptado el servicio no se vuelve a solicitar confirmación en las subsiguientes compras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 Por tanto, la entidad DosfarmasShop Online, deja de ser responsable del tratamiento de los datos personales que la entidad Trusted Shop realizara a partir del momento en el que el usuario acepta contratar con esta empresa una garantía adicional para las compras online, por lo que, con arreglo a las evidencias que se disponen en este momento, se considera que la actuación de la entidad DosfarmasShop, no se contradice con lo establecido en la normativa vigente en materia de protección de datos. V.- Sobre lo indicado por del reclamante 3, con respecto al ejercicio del derecho de acceso y la información recibida. Según se desprende de la documentación recibida junto con el escrito de reclamación, el reclamante envió un correo electrónico el 21/08/21 a la dirección ***EMAIL.2, solicitando ejercer el derecho de acceso a los datos personales registrados por DosfarmaShop. Además, en dicho correo también se denunciaba que había recibido un correo de "Trusted Shop", empresa ajena a Dosfarma, con relación al pedido realizado sin que hubiera facilitado a dicha empresa sus datos personales. Con fecha 31/08/21, el reclamante recibe respuesta a su solicitud de acceso desde la dirección, ***EMAIL.3 (Delegado de Protección de Datos de Dosfarma), adjuntado un fichero “.PDF” con los datos que Dosfarma tiene del reclamante, (ficha de cliente). Además de todo ello, se le informaba de lo siguiente: “(…) datos se utilizan exclusivamente para mantener tu ficha como cliente y gestionar tus pedidos y los mantenemos activos hasta que el cliente nos solicite la baja. No realizamos transferencias internacionales de tus datos personales, y tus datos personales solo se han comunicado a la empresa de paquetería para hacerte llegar el pedido. Igualmente, no existen decisiones automatizadas ni elaboraciones de perfiles. Respecto a Trusted Shop; al finalizar la compra se ofrece a los clientes la posibilidad de obtener una garantía adicional de forma gratuita, a través de Trusted Shops. Si el usuario hace clic en "Asegurarse de forma gratuita", se formaliza el proceso y se obtiene esa garantía adicional. Seguramente cuando terminaste tu compra cogiste esta garantía y por eso recibiste el email de Trusted Shops. Te adjuntamos una captura de pantalla de cómo se ve cuando terminas la compra y el mensaje de Trusted Shops junto con ese botón que te mencionaba antes (…)”. En este sentido, el artículo 12.2 del RGPD, establecer que: “2.El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22 (…)”. Sobre el derecho de acceso, el artículo 15 del RGPD, establece lo siguiente: 1.El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2.Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3.El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que, la actuación de la entidad reclamada, al enviar al reclamante el fichero con los datos personales que poseía de él, (la ficha de cliente), e informarle de que, los datos se utilizan exclusivamente para mantener la ficha de cliente y gestionar los pedidos; que la conservación de los mismos será hasta que el cliente solicite la baja; que no realizan transferencias internacionales de los datos personales que posee la entidad; que los datos personales solo se han comunicado a la empresa de paquetería para poder hacer llegar el pedido y que, no existen decisiones automatizadas ni elaboraciones de perfiles, no contradice lo estipulado en el artículo 15 del RGPD. VI.- Sobre lo indicado por el reclamante 3, en el sentido de que recibe publicidad sin su consentimiento Junto al escrito de reclamación, se presentó copia de 12 correos electrónicos recibidos en la dirección del reclamante, enviados desde la dirección de correo electrónico ***EMAIL.4 , con mensajes promocionales o publicitarios, enviados entre el 13/09/21 y el 03/10/21. No obstante, en ningún momento se indica en la reclamación que se hubiera intentado darse de baja de la recepción de correos electrónicos publicitarios o que hubiera intentado ejercer sus derechos de oposición. Con fecha 10/02/22, esta Agencia pudo constatar que, a través del enlace <<identifícate>>, el usuario podía registrarse en la web como cliente, pero antes de poder enviar el formulario de inscripción, el usuario, si deseaba recibir comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 comerciales, debía cliquear en la opción: _ Recibir ofertas y descuentos para futuras compras de Dosfarma”. Por su parte, en cada uno de los correos electrónicos publicitarios recibidos existe el siguiente mensaje en su parte inferior: “DOSFARMASHOP ONLINE S.L Recibes este correo porque te has suscrito a la lista de DosFarma o porque has proporcionado tu dirección de correo en algún evento realizado, y creemos que la información proporcionada puede ser de tu interés. <<Cancelar suscripción>> | Reenviar email Si no puedes ver correctamente este email haz click <<aquí>>”. Además, la entidad reclamada informó a esta Agencia que, en ningún momento había tenido noticias de que el reclamante rechazara la recepción de comunicaciones comerciales, ni tampoco se indicaba nada al respecto, en su escrito donde ejercía el derecho de acceso. La entidad reclamada afirma, en su escrito de contestación, que “ (…) Todos los emails comerciales que envía Dosfarmashop o han sido previamente consentidos por el usuario o se realizan al amparo de lo establecido en apartado segundo del artículo 21 de la LSSI-CE. Además, los usuarios registrados tienen la posibilidad de modificar la configuración sobre la recepción o no de estas comunicaciones en su panel de control de usuario registrado en la pestaña “Datos Personales” y, en cualquier caso, en cada comunicación existe un enlace para poder cancelar la suscripción de comunicaciones en cualquier momento (…)”. En este sentido, el artículo 21 de la LSSI, establece que: 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que el envío de correos electrónicos publicitarios al reclamante, no se contradice en ningún caso con lo estipulado en el artículo 21 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad DOSFARMASHOP ONLINE, S.L. con CIF: B30877856, titular de la página web, ***URL.1, y a los reclamantes. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es