1/5 Expediente Nº: E/00977/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por CARGO LANZAROTE SOCIEDAD LIMITADA relativo a la ejecución del requerimiento de la resolución de referencia R/00404/2016 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00297/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00297/2015, a instancia de C.C.C. con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y 22.2 de la Ley 34/2002, de los Servicios de la Sociedad de la Información ( en lo sucesivo LSSI).Dicho procedimiento concluyó mediante resolución R/00404/2016, de fecha 1 de marzo de 2016 por la que se resolvía (…)TERCERO.REQUERIR a CARGO LANZAROTE S.L de acuerdo con lo establecido en el citado artículo 39 bis 2 LSSI y articulo 45.6 LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 5 de la LOPD, para lo que se insta a dicha entidad a adecuar la página web www.cargolanzarote.es a los requisitos señalados en el Fundamento de Derecho IV. 3.2 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a adecuar la página web www.cargolanzarote.es a los requisitos señalados en el Fundamento de Derecho IX. CUARTO.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/000977/2016 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello. (…) SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fechas de entrada 4 y 18 de Abril de 2016 escritos en el que informaba a esta Agencia en los siguientes términos: (…) Se ha procedido a dar debido cumplimiento a los requerimientos formulados por la AEPD en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 cumplimiento del artículo 5 de la LOPD y 22.2 de la LSSI (…) aporta justificación. TERCERO: En fecha de 19/04/2016 por el Instructor del procedimiento se accedió al sitio web denunciado verificando el cumplimiento de lo requerido. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II En la Resolución R/00404/2016 se hacía constar en los Fundamentos de Derecho II, VII, VIII y IX lo siguiente: (…) II Dispone el art. 5 de la LOPD que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso, ha resultado acreditado que a través de la web denunciada se recogen datos de carácter personal sin ofrecer la información prevista en el artículo 5 de la LOPD. De modo que los usuarios de la página web que se inscriben introduciendo sus dato personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. En conclusión el deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. (….) VII El Anexo de la LSSI define en su apartado
- c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
- a)entiende “ todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a CARGO LANZAROTE S.L., como titular del dominio donde se aloja la página web www.cargolanzarote.es y por tanto situarle bajo las obligaciones y el régimen sancionador de la LSSI. (….) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 VIII En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que tanto al inicio de las actuaciones de inspección como durante la tramitación del presente procedimiento, no se localiza en la página principal del sitio web ninguna información relativa al uso de DARD sin dar cumplimiento al mandato del art. 22.2 de la LSSI. (…) IX Relacionando dichas exigencias con la información ofrecida por CARGO LANZAROTE, S.L., en las pruebas realizadas sobre cookies en su página web se efectúan las siguientes consideraciones: En las pruebas realizadas en fecha de 27/05/2015 y 22/02/2016 en respecto de la información ofrecida y los dispositivos de almacenamiento y recuperación de datos que se instalaban, es deficiente en tanto que no consta en la página principal del sitio web ninguna información relativa al uso de DARD. Por lo que se insta a la entidad denunciada a incluir la información prevista en el art. 22.2 de la LSSI en relación con lo expuesto en los Fundamentos de Derecho VI a VIII. (…) III En supuesto presente, del examen de las medidas adoptadas por CARGO LANZAROTE SOCIEDAD LIMITADA, se constata que han procedido a realizar modificaciones en la página web dando cumplimiento a lo requerido. En concreto se ha instaurado un mensaje al acceder a la página web donde informa de que tipo de DARD utiliza y su finalidad, con un vínculo que redirige el navegador al sitio web donde se aloja la Política de Cookies. Por otro lado se ha instaurado en los formularios de recogida de datos la información requerida en el art. 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CARGO LANZAROTE SOCIEDAD LIMITADA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es