1/6 Expediente Nº: E/01643/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad E-CONTENIDOS, S.L.. en virtud de denuncia presentada por D.D.D. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 2 de febrero de 2016, tuvo entrada en esta Agencia un escrito de D. D.D.D. (en lo sucesivo el denunciante) en el que denuncia que la página web “www.intrusosydentistas.com” contiene formularios de recogida de datos personales sin facilitar a los usuarios la información necesaria en materia de protección de datos de carácter personal, por lo que no es posible identificar a los responsables. Adjunta impresiones de pantalla de la web <www.intrusosydentistas.com> en las que se visualizan las distintas opciones para seleccionar: intrusos, dentista, expertos, afectados, contacto, así como información que consta de las mismas. El denunciante no ha informado que se hubiera puesto en contacto o que se hubiera registrado en la citada página web. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se ha verificado por la Inspección de Datos que en la página web <www.whois.com> consta que B.B.B. es el registrante y administrador del dominio <www.intrusosydentistas.com>, que la organización es ECONTENIDOS, S.L.., con domicilio postal en la calle A.A.A.. 2. En el Registro Mercantil Central figura que la compañía E-CONTENIDOS, S.L.. tiene la sede en la calle A.A.A., y que su administrador único es B.B.B.. 3. En la página web <www.intrusosydentistas.com> consta un formulario de CONTACTO y otro para SUSCRIBIRSE, que incluyen campos para la recogida de la dirección de correo electrónico y el nombre. Al suscribirse figura la dirección de correo electrónico para comunicarse <info@intrusosydentistas.com> y la dirección postal (C/...1), de Madrid. En dicha página puede consultarse la Política de Privacidad y Condiciones de Servicio de Google. 4. En el Registro General de Protección de Datos (RGPD) figura inscrito el fichero denominado “USUARIOS WEB”, siendo el responsable E-CONTENIDOS, S.L., y cuya finalidad es “registro y gestión de usuarios de la paginas web de la entidad”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 5. La compañía E-CONTENIDOS, S.L.. ha dado respuesta al requerimiento de la Inspección de Datos, el día 22 de noviembre de 2016, manifestando lo siguiente: Confirman que dicha sociedad es la titular de la página web <www.intrusosydentistas.com> y que la página web dispone de aviso legal al que se accede clicando sobre el logotipo ubicado en la parte inferior izquierda de la pantalla, se adjunta impresión de pantalla en la que consta AVISO LEGAL - POLITICA DE PRIVACIDAD En la misma figura la identificación del titular y la dirección postal y se reconoce a los usuarios el derecho a revocar el consentimiento prestado, así como los derechos de acceso, cancelación, rectificación y oposición a sus datos que podrán ejercitar mediante e-mail dirigido a <protecciondedatos@prnoticias.com>. Los datos de los usuarios que se registran en la página web únicamente se utilizan para contestar a las solicitudes y a modo de control por los comentarios y testimonios que los propios usuarios manifiestan. El denunciante no tiene ni ha tenido relación con E-CONTENIDOS, S.L.. y no ha sido usuario de la página web www.intrusosydentistas.com, por lo que no ha planteado ninguna consulta ni testimonio, ni tienen constancia de que en otras páginas web de la compañía E-CONTENIDOS, S.L.. figuren datos relativos al mismo. 6. Se ha verificado por la Inspección de Datos que en el sitio web <www.intrusosydentistas.com>, en la zona inferior izquierda, figura el logotipo de la entidad que al clicar sobre él se visualiza: AVISO LEGAL - POLITICA DE PRIVACIDAD y, en concreto, apartado PROTECCION DE DATOS en los que se detallan los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tales como: identidad, CIF y dirección postal del titular, la incorporación de los datos a un fichero inscrito en el RGPD y el procedimiento para ejercitar los derechos en la dirección <protecciondedatos@prnoticias.com>. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Se denuncia a la entidad C/ Jorge Juan, 6 28001 – Madrid E-CONTENIDOS, S.L.. por la recogida de datos www.agpd.es sedeagpd.gob.es 3/6 personales a través de formularios insertados en su web “www.intrusosydentistas.com” sin facilitar a los usuarios la información necesaria en materia de protección de datos de carácter personal. El artículo 5 de la LOPD, establece en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el citado artículo 5, la entidad denunciada debe dar a sus clientes la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En el caso que nos ocupa, recibida la denuncia, la AEPD comprobó que la citada web no incluía ningún apartado que mostrase a los usuarios de los que se recabasen datos personales la información exigida en el citado artículo 5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Actualmente, se ha podido comprobar que dicha web se encuentra operativa, que dispone de formularios (“suscripción” y “contacto”) habilitados para la recogida de datos de carácter personal y contiene un documento denominado “Aviso legal-Política de Privacidad” en el que se detallan los aspectos contemplados en el artículo 5 de la LOPD, tales como: identidad, CIF y dirección postal del titular, la incorporación de los datos a un fichero inscrito en el RGPD y el procedimiento para ejercitar los derechos en la dirección protecciondedatos@prnoticias.com o mediante comunicación escrita a la dirección que se indica. Esa leyenda informativa en materia de protección de datos de carácter personal se ajusta a las previsiones normativas reseñadas, es decir, cumple lo dispuesto en el artículo 5 LOPD, por cuanto se facilita a los usuarios de la web “www.intrusosydentistas.com” información precisa sobre la existencia de un fichero, la finalidad de la recogida de los datos, la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, la identidad y dirección del responsable del tratamiento. Por tanto, se entiende regularizadas las deficiencias puestas de manifiesto en la denuncia en relación con la información ofrecida en materia de protección de datos con carácter previo a la recogida de datos personales. Se tiene en cuenta que la entidad E-CONTENIDOS, S.L.., responsable de la web “www.intrusosydentistas.com”, no ha sido sancionada o apercibida con anterioridad por esta Agencia. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, hubiese procedido someter a la citada entidad a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 5 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la escasa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal y el grado de intencionalidad. Todo ello, hubiese justificado que la AEPD no acordase la apertura de un procedimiento sancionador y que optase por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y considerando que el objeto del apercibimiento es la imposición de medidas correctoras, la SAN citada concluye que cuando no deban ser requeridas tales medidas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el presente caso, se ha comprobado que la web objeto de la denuncia incluye en la actualidad la información exigida en el artículo 5 de la LOPD, por lo que no procede exigir medidas para subsanar los reparos que determinaron la denuncia. Por tanto, a la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que no procede requerir la adopción de medidas correctoras, se resuelve el archivo de las actuaciones. No obstante, se advierte sobre la conveniencia de que el acceso a la información contenida en el documento “Aviso legal-Política de Privacidad” incluya alguna indicación (como “info”, “información”, “Aviso legal” o “política de privacidad”) que permita al usuario conocer la funcionalidad del mismo (actualmente se accede al clicar sobre el logotipo de la entidad). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a E-CONTENIDOS, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es