E-01359-2018

1/12 Expediente Nº: E/01359/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad A.A.A., Sociedad Civil, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 13 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación con objeto de determinar si los tratamientos de datos personales que realiza A.A.A., Sociedad Civil, bajo la marca comercial AKIRUTEK, cumplen con lo establecido en la LOPD. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 13 de marzo, se accedió a la página web www.akirutek.com, comprobando que ofrecen servicios de adecuación de empresas y autónomos a la normativa de Protección de Datos y que en la página se incluye el logotipo de la Agencia Española de Protección de Datos junto con el título “Delegación de Protección de Datos de Bizkaia”. La página incluye una leyenda informativa, donde se identifica como titular de la misma a AKIRUTEK, con CIF J9578120. En la leyenda se incluye información sobre Protección de Datos, identificando el titular y la dirección del responsable del fichero para el ejercicio de los derechos ARCO. También se incluye en la primera página información sobre el uso de cookies con un enlace en el que se ofrece más información sobre las cookies, indicando que son temporales (de sesión). 2. Con fecha 20 de abril de 2018, se verifica que se ha modificado la citada página web, en la que se ofrecen diferentes servicios de peritaje y proyectos tecnológicos, no figurando ninguna referencia a “Protección de Datos”. También se comprueba que la página incluye la leyenda informativa como en la versión anterior y que, también como en la versión anterior, en la primera página se informa del uso de cookies con un enlace en el que se ofrece más información sobre las cookies, indicando que son temporales (de sesión). 3. Se ha comprobado en el Registro General de Protección de Datos, que el CIF J9578120, corresponde a la sociedad civil A.A.A., y que consta como responsable del fichero “GESTION DE CLIENTES, USUARIOS Y/O PROVEEDORES”. 4. Con fecha 18 de abril de 2018, se realiza una inspección en la sociedad civil A.A.A., en la que, según consta en el Acta correspondiente, se pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 a. La sociedad es responsable del fichero denominado “GESTION DE CLIENTES, USUARIOS Y/O PROVEEDORES” inscrito en el Registro General de Protección de Datos con el código ***COD.1, con fecha de inscripción 10/08/2015. b. La sociedad no dispone de personal, siendo los únicos trabajadores los dos socios titulares de la misma. c. Los datos que se tratan en el fichero corresponden a empresas, representantes de empresas, autónomos, personas físicas etc… a las que se ha prestado algún servicio por parte de la sociedad o han solicitado información sobre los servicios que prestan. Los datos que se tratan son de carácter básico: datos identificativos, dirección, dirección de correo electrónico…, al principio también se guardaban, en algunos casos, datos bancarios. d. La sociedad es titular de la página web www.akirutek.es, a través de la cual ofrece sus servicios y recaba datos de las personas interesadas en ellos. En relación con la citada página web, recibieron un escrito de la Agencia, con fecha de registro de salida 16 de marzo de 2018, en el que se les requería para que cesaran en la utilización no autorizada del nombre y logo de la Agencia. Con fecha 19 de marzo de 2018, la empresa dio contestación al escrito, a través de un correo electrónico en el que informaban de la retirada inmediata de toda referencia a la Agencia Española de Protección de Datos en su página web. Se adjunta como documento nº 1 copia del escrito mencionado y de la contestación al mismo. e. En la actualidad la empresa presta servicios de peritaje informático, tasación informática, recuperación de datos, informes contra-periciales, laboratorio informático forense y proyectos tecnológicos. f. Aunque hasta marzo de 2018, fecha en que modificaron la página web, se ofrecían también servicios de protección de datos, en realidad no han prestado ningún servicio relacionado con protección de datos desde diciembre de 2017. g. Las personas interesadas en obtener información sobre dichos servicios puede facilitar sus datos personales a través de los formularios existentes en la citada página, donde se incluye una leyenda informativa sobre los tratamientos que se van a realizar con sus datos y la dirección del responsable del fichero donde se pueden ejercitar los derechos ARCO. También se informa de que en el caso de facilitar la dirección de correo electrónico y el teléfono móvil, prestan su consentimiento expreso para recibir comunicaciones, vía correo electrónico o SMS con la finalidad de dar curso a su solicitud de contacto o de petición de servicios. h. Los datos que se recaban en los formularios se reciben en la empresa a través de correo electrónico en el buzón info@akirutek.com, y en el caso de que solo soliciten información se contesta a través del propio correo. Únicamente se graban en el fichero los datos de aquellas personas que solicitan un presupuesto o un servicio. Los correos electrónicos de solicitud de información se eliminan a los diez días en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 caso de que no se interesen en ningún servicio. i. Además de a través de la página web, la sociedad publicita sus servicios a través de redes sociales (Facebook, Linkedin y Twitter). Sin embargo, no recaba ningún dato personal a través de dichas redes. No realizan envíos de correos electrónicos ofreciendo servicios que no hayan sido solicitados por el interesado. j. La sociedad tiene establecido un procedimiento para dar contestación a las solicitudes de derechos ARCO, aunque hasta la fecha no han recibido ninguna. Se adjunta como documento nº 2, copia del citado procedimiento que forma parte del Documento de Seguridad de la Sociedad. k. La sociedad tiene suscrito contrato con la empresa AZ Legal Ideas Factory S.L., el último de fecha 9 de marzo de 2018, para la prestación de servicios fiscales y contables. En el contrato se incluye una cláusula en la que se indica que el encargado tendrá acceso a los datos del responsable del fichero con la única finalidad de la prestación del servicio y se ha firmado un anexo de confidencialidad. l. Así mismo, con fecha 15 de marzo de 2015, suscribieron un contrato de hosting con la empresa 1&1 Internet España S.L.U., que dispone de una cláusula de confidencialidad. 2 En la inspección, la representante de la sociedad muestra las dos versiones del documento de seguridad de la empresa, la primera versión es de marzo de 2016 y la última versión del mismo de 28 de febrero de 2018; en los documentos analizados se detallan las medidas de seguridad implementadas por la sociedad, entre otras: a. Identificación de Usuarios en fichero automatizado: al fichero solo acceden los dos usuarios socios y ambos son administradores del sistema, el usuario y la contraseña es personalizada, la longitud de las contraseña es de 14 caracteres mínima y se tiene que cambiar cada 6 meses, son definidas por el propio usuario y se almacenan cifradas. b. Gestión de soportes: se firma un documento de solicitud de autorización para la salida de soportes que incluye los datos del socio que va a sacar de la oficina alguno de los dos ordenadores portátiles o de los dos teléfonos móviles, que son los únicos soportes que utilizan y que pueden contener datos personales. c. El fichero se ubica en un disco NAS que se encuentra en el mismo domicilio de la sociedad. d. La red de comunicación para el acceso a internet, se ha contratado con la empresa Euskaltel. e. La página web se encuentra alojada en la empresa 1&1 Internet España S.L.U. f. La documentación en papel se almacena en un armario metálico, cerrado con llave, la cual está en poder de los socios. g. La empresa dispone de una destructora de papel para desechar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 documentación que contiene datos personales. h. Las copias de seguridad se realizan, con periodicidad semanal, tanto en el propio NAS donde se ubica el fichero como en un disco duro externo además en el propio NAS se almacena otra copia de seguridad mensual. 3 En la inspección se ha tenido acceso al fichero identificado por la responsable de la sociedad como el inscrito en el Registro General de Protección de Datos, realizando las siguientes comprobaciones: a. Se accede a la aplicación web denominada “Dolibar”, desde la que se gestiona el fichero, para lo cual hay que identificarse con usuario y contraseña. b. La aplicación dispone de un menú principal con las siguientes opciones disponibles: Clientes (clientes activos) 59 registros, Clientes potenciales (han solicitado presupuesto, se les ha entregado y lo han rechazado) 33 registros, Proveedores 32 registros, Contactos (personas de contacto de los clientes) 73 registros. Se verifica que en el grupo de Proveedores hay datos de empresas. Así mismo se verifica que en el grupo de Clientes potenciales, todos se encuentran en estado CERRADO. c. Se accede al contenido de cada grupo y se obtiene una muestra aleatoria de los datos contenidos en cada una de las opciones parcialmente anonimizados, en los datos obtenidos se verifica que hay datos personales de carácter básico: datos identificativos, dirección, dirección de correo electrónico… y que corresponden en su mayoría a empresas, aunque también hay datos de particulares, en especial en los datos de contacto. 4 También se ha comprobado en la inspección el contenido del buzón de correo electrónico info@akirutek.com, verificando que desde 13 de diciembre de 2017 solo hay un registro procedente de la página web, de fecha de 18 de abril de 2018, en el que una persona solicita información. 5 Se ha comprobado que en la oficina donde se realiza la inspección hay un armario metálico cerrado con llave donde se guardan los expedientes y documentos en papel de los clientes, clasificados por fechas, en archivadores A-Z. 6 Así mismo, se ha verificado la existencia en el local, de una trituradora de documentos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 II Durante la inspección efectuada en los locales de A.A.A., Sociedad Civil, se ha comprobado el cumplimiento de la normativa de protección de datos. En relación a la información recabada de los afectados hay que señalar que el artículo 5 de la LOPD recoge lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” … 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad Aixa debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. En el apartado de Política de Privacidad de la entidad A.A.A., Sociedad Civil, se indica quien es el responsable del tratamiento de los datos; para qué se utilizan sus datos personales; derechos que le asisten y cómo ejercitarlos; en qué momento se recogen los datos; obligatoriedad de contestar algunas de las preguntas del formulario. La cláusula informativa cumple lo establecido en el artículo 5 de la LOPD. Tras el 25 de mayo de 2018, se ha incluido una leyenda informativa amplísima referida a protección de datos que cumple todas las obligaciones establecidas en el artículo 13 del Reglamento Europeo de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 III Referente a los ficheros de datos de los que es responsable la entidad A.A.A., Sociedad Civil, el artículo 26.1 de la LOPD, que bajo la rúbrica “Notificación e inscripción registral” establece: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.” Dicho precepto debe ponerse en relación con lo dispuesto en el artículo 55.2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que dispone sobre la “Notificación de ficheros” lo siguiente: “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” En el presente caso, ha quedado acreditado que la entidad inspeccionada cuenta con un fichero inscrito relativo a los clientes, proveedores, y usuarios, inscritos en el Registro General de Protección de Datos. IV En relación a las medidas de seguridad, el artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
7. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo.” Por su parte el artículo 3.
8. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Sintetizando las previsiones legales citadas puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
13. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa, las Inspectoras de Datos comprobaron el documento de seguridad de A.A.A., Sociedad Civil, en el que se detallan las medidas de seguridad implementadas por la sociedad, comprobando, entre otras, lo referente a identificación de usuarios en ficheros automatizados, gestión de usuarios y contraseñas, gestión de soportes y documentos, y salidas de portátiles y teléfonos. Asimismo, verificaron que en los locales hay una trituradora de documentos y un armario metálico cerrado con llave en los que se guardan expedientes de clientes. V A.A.A., Sociedad Civil, tiene suscrito un contrato de prestación de servicios con AZ Legal Ideas Factory, S.L., para la prestación de servicios fiscales y contables; así como un contrato de hosting con 1&1 Internet España, S.L.U. El artículo 12 de la LOPD, habilita el acceso de terceros a los datos personales cuando éste se efectúe para prestar un servicio al responsable del fichero o del tratamiento. Así, bajo la rúbrica “Acceso a los datos por cuenta de terceros” establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” (El subrayado es de la AEPD) En definitiva, el artículo 12.1 de la LOPD permite que la persona o entidad que presta un servicio al responsable del fichero acceda a datos de carácter personal sin que este acceso se considere, por imperativo legal, una cesión o comunicación de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Las investigaciones llevadas a cabo por la Subdirección de Inspección de Datos han permitido comprobar que A.A.A., Sociedad Civil, ha suscrito contratos de Prestación de Servicios con dos entidades y que en el marco de dicho contrato se facilitan los datos personales. VI Acerca del tratamiento de los datos que efectúa, el artículo 6.1 de la LOPD, señala lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mismo artículo añade que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, (Fundamento Jurídico 7, primer párrafo) “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Para que dicho tratamiento de datos realizado por A.A.A., Sociedad Civil, resultara conforme con los preceptos de la LOPD, debía concurrir alguno de los supuestos contemplados en el artículo 6 de la dicha norma. En el presente caso, ha quedado acreditado que los datos tratados por la entidad son de clientes y proveedores y trabajadores, no siendo preciso su consentimiento para el tratamiento de sus datos con finalidades relacionadas con tal relación laboral o contractual. VII Por último y en relación con las cookies, el artículo 22.2 de la LSSI, señala lo siguiente: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. El Anexo de la LSSI define en su apartado
14. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
15. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. En el presente caso, ha resultado probado que la entidad investigada a través de la página web utiliza cookies con carácter temporal y con la única finalidad de que funcione correctamente el sitio y se pueda visualizar; comprendidas, por tanto, en el primer supuesto de exención. VIII El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a A.A.A., Sociedad Civil. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es