AI-00264-2024

1/6  Expediente N.º: EXP202409211 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 21 de junio de 2024 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con RAMONA FILMS, S.L. por los hechos que se describen a continuación: “Con fecha 17 de noviembre de 2023, la directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador número PS/00308/2023, seguido contra RAMONA FILMS, S.L. En dicha resolución, además de sancionar con la imposición de multas por las infracciones de los artículos 6.1.a), 13, 28.3, 32, 37, 38.6 del RGPD y artículo 22.2 de la LSSI, se ordenaba a RAMONA FILMS, S.L. a que implantara, en el plazo de un mes, las medidas correctivas necesarias para adecuar su actuación a la normativa de protección de datos personales, así como que informara a esta Agencia en el mismo plazo sobre las medidas adoptadas. Entre las medidas mencionadas se ordenaba el establecimiento de las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales. Con fecha de 26 de diciembre de 2023, la parte reclamada presentó un escrito informando sobre el cumplimiento de las medidas impuestas en la resolución del procedimiento sancionador, manifestando en relación con el establecimiento de las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales, lo siguiente: ‘Sobre la adaptación a las medidas para la verificación de la edad, se ha modificado el mensaje de entrada dónde el interesado debe indicar si es mayor de edad. De no ser así, no se le permite continuar con la navegación. Asimismo, se ha modificado el código de la página para favorecer el control parental. Adjuntamos pantallazo del aviso dónde se indican estos términos.’ En relación con lo anterior, resulta conveniente determinar si RAMONA FILMS ha cumplido efectivamente con el establecimiento de las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales y ello requiere la apertura de una investigación para verificar estos extremos y, en su caso, la oportuna observancia de la normativa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante las actuaciones se ha investigado la siguiente entidad: RAMONA FILMS, S.L. con NIF B87763405 (en lo sucesivo, la parte investigada o RAMONA FILMS). Por parte del inspector se realizan las siguientes diligencias: - Diligencia del portal web ***WEB.1 que recoge evidencias del mecanismo desplegado para declarar la edad del usuario que accede, constándose que existe ventana emergente a través de la cual el usuario interacciona para declarar ser mayor o menor de 18 años haciendo uso para ello de dos botones mostrados en la ventana junto al siguiente texto informativo: “***WEB.1 está estrictamente limitado a mayores de 18 años o a la mayoría de edad acorde a su jurisdicción, considerando la edad que sea mayor de ambas. ¿ERES MAYOR DE 18 AÑOS? Nos hemos asegurado de que ***WEB.1 es, y seguirá siendo, totalmente compatible con el código RTA (Restricted to Adults). Todo el acceso al sitio puede bloquearse mediante sencillas herramientas de control parental. Es importante que los padres y tutores responsables tomen las medidas necesarias para evitar que los menores accedan a contenidos inadecuados en línea, especialmente a los contenidos restringidos por edad. Cualquier persona que tenga un menor en su casa o bajo su supervisión debería implementar protecciones básicas de control parental, incluyendo la configuración del hardware y dispositivos del ordenador, la instalación de software o servicios de filtrado de proveedores de servicios de Internet, para bloquear el acceso de sus menores a contenidos inadecuados” En caso de que el usuario pulse sobre botón “NO”, redirige a portal Youtube (al canal de “A.A.A.”), no permitiendo el acceso a los contenidos de la web. Si el usuario pulsa botón “SI”, permite acceso directo a los contenidos del portal, utilizando para recordar esta acción el propio almacenamiento local del navegador (a través del objeto “(...)”) donde se almacena objeto temporal, este objeto permanece en navegador mientras el usuario no cierre la ventana o pestaña utilizada. - Diligencia del portal web ***WEB.2 con evidencias del mecanismo utilizado como método de declaración de la edad para el acceso a los contenidos del portal, en este caso queda constatado que se utiliza una ventana emergente donde se muestra texto informativo junto a dos botones a través de los cuales el usuario interacciona para declarar su edad, bien de forma afirmativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 pulsando sobre botón “SÍ” y accediendo por tanto a los contenidos del portal, bien de forma negativa (pulsando sobre botón “NO”) siendo redirigido al canal de Youtube (al canal “A.A.A.”). El texto informativo mostrado es el siguiente: “***WEB.2 está estrictamente limitado a mayores de 18 años o a la mayoría de edad acorde a su jurisdicción, considerando la edad que sea mayor de ambas. Cualquier persona que tenga un menor en su casa o bajo su supervisión debería implementar protecciones básicas de control parental, incluyendo la configuración del hardware y dispositivos del ordenador, la instalación de software o servicios de filtrado de proveedores de servicios de Internet, para bloquear el acceso de sus menores a contenidos inadecuados. By using the site, you acknowledge you are at least 18 years old. ¿ERES MAYOR DE 18 AÑOS? | ARE YOU 18 OR OLDER?” De la misma forma que en el portal ***WEB.1, se hace uso del almacenamiento del navegador para recordar esta decisión del usuario, no obstante, en este caso se hace a través de una cookie de nombre (...) y duración anual, por lo que, salvo que el usuario borre expresamente las cookies, esta decisión permanecerá recordada en el navegador pese a que se cierre la pestaña o ventana utilizada. - Diligencia de las políticas de privacidad tanto del portal ***WEB.1 como ***WEB.2, constatándose que ambas incorporan el siguiente texto: “Política de Privacidad Información básica sobre Protección de Datos Responsable: (...) Finalidad: Gestionar la petición/información recibida a través de los formularios presentes en el sitio web. Legitimación: Consentimiento del interesado. Destinatarios: No se cederán datos a terceros, salvo obligación legal. Derechos: Derecho a solicitar el acceso a los datos personales relativos al interesado, Derecho a solicitar su rectificación o supresión, Derecho a solicitar la limitación de su tratamiento, Derecho a oponerse al tratamiento, Derecho a la portabilidad de los datos. La persona interesada podrá retirar el consentimiento previamente otorgado para el tratamiento de sus datos personales cuando estime oportuno. La retirada del consentimiento previamente otorgado no tendrá carácter retroactivo, siendo lícitos los tratamientos previamente realizados legitimados en dicho consentimiento. Información adicional: Puede consultar la información adicional y detallada sobre Protección de Datos en sede social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 Mientras no nos comunique lo contrario, entenderemos que sus datos no han sido modificados, que usted se compromete a notificarnos cualquier variación y que mantiene su consentimiento para utilizarlos para las finalidades mencionadas. La recepción de datos a través de dichos formularios, de no haber consentido libre, afirmativa y voluntariamente el tratamiento y almacenamiento de los mismos, eliminados de manera inmediata sin proceder a realizar ninguna acción con los mismos.” En relación con este último punto sobre diligencias de políticas de privacidad, el responsable de tratamiento de los datos personales que aparece es (...), por parte del presente inspector se accede al portal WayBack Machine para obtener evidencias de la fecha aproximada en la que se introduce este cambio, constatándose que, a fecha 27 de noviembre de 2023 se afirmaba como responsable de tratamiento de los datos tratados a RAMONA FILMS SL, existiendo primera evidencia del cambio en fecha 4 de abril de 2024 donde ya aparece el nuevo responsable en la política de privacidad. Se crea diligencia y se adjunta como objeto asociado al expediente. El informe de actuaciones previas de investigación concluye, por una parte, que habría evidencias de que los portales web ***WEB.1 y ***WEB.2 utilizan como mecanismos de declaración de edad una ventana emergente con texto informativo y dos botones a través de los cuales el usuario interactúa declarando ser mayor o menor de edad, permitiendo acceder a los contenidos del portal en caso de que el usuario haya declarado ser mayor de 18 años. En el caso del portal ***WEB.1.com esta interacción del usuario es recordada por el navegador mientras no se cierra la ventana o la pestaña que se está utilizando. En caso del portal ***WEB.2.com, la decisión del usuario se almacena en una cookie con una duración temporal anual, por lo que, si no se borra esta cookie expresamente, la decisión del usuario permanece recordada pese a que se cierre la pestaña o ventana de navegador utilizado. Por otra parte, se ha constatado que los portales web ***WEB.1 y ***WEB.2 incorporan en su política de privacidad como responsable de tratamiento a la empresa (...). La primera evidencia de este cambio en el portal WayBack Machine data de 4 de abril de 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Conclusión Para que esta Agencia pueda apreciar la existencia de una infracción en materia de protección de datos, es necesario que concurran determinados elementos, en particular, que se haya llevado a cabo un tratamiento de datos personales en los términos previstos en el artículo 4.2 del RGPD, que dicho tratamiento haya sido realizado sin base jurídica válida o en vulneración de los principios y derechos establecidos en la normativa de protección de datos, y que pueda ser atribuido a una persona física o jurídica identificada en su condición de responsable o encargado del tratamiento. En el marco de las actuaciones previas de investigación seguidas frente a RAMONA FILMS, S.L., se ha podido constatar que, si bien inicialmente esta entidad figuraba como responsable del tratamiento de los datos personales a través de los portales web ***WEB.1 y ***WEB.2, esta condición dejó de concurrir al menos desde el 4 de abril de 2024, fecha en la que se observa por primera vez la incorporación de un nuevo responsable (...) en las políticas de privacidad de ambas páginas, tal como se ha verificado mediante consulta a versiones de los sitios web. En consecuencia, el inspector de la AEPD ha comprobado que las páginas web objeto de investigación han dejado de ser de titularidad de la parte investigada al menos a partir de 4 de abril de 2024. Por su parte, las evidencias en relación con el acceso por menores a las mencionadas páginas web han sido obtenidas con posterioridad a la apertura de las actuaciones previas de investigación, en fecha 21 de junio de 2024, cuando ya no constaba RAMONA FILMS, S.L. como responsable del tratamiento. Con ello, son posteriores al cambio de titularidad. Por ello, no resulta posible atribuir a la parte investigada la responsabilidad por el tratamiento. De acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a RAMONA FILMS, S.L., con NIF B87763405 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es