E-01678-2014

1/11 Expediente Nº: E/01678/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad 1&1 INTERNET ESPAÑA, S.L.U. en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 10 de febrero de 2014 tiene entrada en esta Agencia un escrito de Don A.A.A. (en lo sucesivo el/la denunciante) en el que declara: Tiene contratados a la empresa1&1 INTERNET ESPAÑA, S.L.U. , en adelante 1&1, el diseño y alojamiento de cuatros dominios: o www.***DOMINIO.1 o www.***DOMINIO.2 o www.***DOMINIO.3 o www.***DOMINIO.4 Que dicha empresa proporciona herramientas para incorporar formularios y Que el cliente no puede alterar, modificar o introducir otras opciones que no sean las proporcionadas por esta empresa. Que la empresa en el contrato con el cliente insta a éste último a no realizar tratamientos de carácter personal contrarios a lo dispuesto en la LOPD. Que la empresa le impide incorporar a la páginas web contratadas y que disponen de formulario de contacto de una casilla para obtener la aceptación de la política de privacidad. Que la empresa no le informa de las cookies que incorpora el sitio web. Denuncia a la citada empresa por: No querer incorporar la casilla de aceptación a la política de privacidad del cliente. Y tampoco el aviso previo a la instalación de cookies y la posterior incorporación de las cookies instaladas. Junto a su denuncia aporta la siguiente documentación: Escrito remitido al Gabinete Jurídico de la AEPD exponiendo los hechos referidos. Escrito remitido a la Subdirección General de Servicios de la Sociedad de la Información. Copia del correo recibido de la SGSSI donde le remiten a la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Copia de las Condiciones Generales de la empresa 1&1 con las advertencia legales para el obligado cumplimiento de la normativa en materia de protección de datos. Copia del correo electrónico recibido por el denunciante el 7 de enero de 2014 en el que el remitente ...@.... manifiesta: o “El Editor Web no utiliza cookies, por lo que no es necesario implementar esta función, no obstante si lo desea puede implementar un texto en su web”. Copia del correo electrónico recibido por el denunciante el 14 de enero de 2014 en el que el remitente ...1@... manifiesta: o “Efectivamente, el Editor Web no genera cookies y, por tanto, no es preciso realizar ningún tipo de advertencia. En relación al formulario de contacto, si no cumple lo que precisa, le recomendamos que lo deshabilite” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, a raíz de las cuales se tuvo conocimiento de los siguientes extremos: 1. Con fecha 27 de febrero de 2014 el funcionario actuante realizó una diligencia sobre las cookies que aparecían en los sitios web del denunciante con el siguiente resultado: Se accedió al sitio www.***DOMINIO.4 y se comprobó que no instalaba [IMAGEN.1] Se accedió al aviso legal del sitio www.***DOMINIO.4 en donde se declaraba que la empresa 1&1 “se niega a incorporar la casilla de aceptación para el tratamiento de datos”. En dicho aviso legal se incluye un formulario en la que se solicitan datos personales para informar a los usuarios con la misma problemática. [IMAGEN.2] Se accedió al sitio www.***DOMINIO.1 y se comprobó que no instalaba [IMAGEN.3] El sitio web www.***DOMINIO.1 proporcionaba la siguiente información sobre cookies: “¿Qué cookies utiliza actual mente 1&.1? TÉCNICAS: Son cookies PROPIAS, de sesión, de Identificación, do configuración y ríe registro, estrictamente necesarias para la identificación del usuario y para la prestación de los servicios solicitados por el usuario, la Información; obtenida a través de las mismas es tratada únicamente por 1&1. DE ANÁLISIS: Son aquéllas que, bien tradadas por nosotros o por terceros, nos permiten cuantificar el número de usuarios y así realizar la medición y análisis C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 estadístico de la utilización que hacen los usuarios del servicio ofertarlo. Para ello se analiza su navegación en nuestra página web con el fin de mejorar la oferta de productos o servicios que le ofrecemos. La Información obtenida por las cookies de análisis es tratada por 1&1 y por dos terceros ( Adobe System http://www.............). Nombre de la cookie de análisis utilizada por dichos terceros: * SlteCatalyst * Esta: aplicación ha ia sido desarrollada por www......analytics...... Ambas empresas nos prestan el servicio de análisis de la audiencia de nuestra página y puede utilizar estos datos para mejorar sus propios servicios y para ofrecer servicios a otras empresas” [IMAGEN.4] [IMAGEN.5] Se accedió al sitio www.***DOMINIO.2 y se comprobó que no instalaba [IMAGEN.6] El sitio web www.***DOMINIO.2 proporcionaba la misma información sobre [IMAGEN.7] Se accedió al sitio www.***DOMINIO.3 y se comprobó que no instalaba [IMAGEN.8] El enlace al “Aviso legal: política de cookies” al principio de la página anterior no funciona. Sí dispone de avisos legales en la base de la página y un formulario en el enlace de “Contacto”. [IMAGEN.9] 2. Con fecha 23 de abril se remitió un requerimiento de información a la empresa 1&1 Internet España S.L.U. en el que se solicitaba la siguiente información: Un usuario/clave de prueba habilitado para la creación de páginas en su sitio web que permita incluir en las mismas formularios para hacer las necesarias comprobaciones dentro del expediente de referencia Dicho requerimiento se reiteró con fecha 16 de mayo de 2014. Con fecha de entrada 19 de mayo de 2014 se recibió escrito desde la empresa manifestando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Que no disponían de un funcionario genérico de prueba. Que no entendían exactamente qué tipo de información se solicitaba. Que han intentado ponerse en contacto con el funcionario actuante sin éxito. Que rogaban aclaración de la información solicitada, manifestando su ánimo de colaboración y ofreciendo sus datos de contacto. El 23 de mayo de 2014 el funcionario actuante contactó telefónicamente con el Departamento Legal de 1&1 Internet España S.L.U. en relación al escrito de respuesta a los citados requerimientos. En dicha llamada se reiteró la solicitud de facilitar un usuario para poder realizar pruebas en el entorno que proporcionan a sus clientes para la realización de sus páginas web. Desde la empresa se indicó que proporcionarían dos usuarios para los dos tipos de productos que ofrecen a sus clientes: hosting y plantillas web. También se manifiestó que la empresa no realiza las páginas web ni da soporte legal más allá de lo indicado en las condiciones de contratación. 3. Con fecha 29 de mayo de 2014 se recibió correo electrónico procedente de la empresa denunciada en el que se incluía usuario, passwords y números de contratos para realizar las pruebas sobre el entorno de la entidad. 4. En las pruebas efectuadas el 9 de junio de 2014 en el sitio de creación de páginas web de 1&1 Interent con el usuario nº de contrato ***CONTRATO.1 se constató que el sistema de plantillas permite incluir un checkbox y etiquetar el mismo como un mecanismo para recoger consentimiento. En la prueba el checkbox se etiquetó genéricamente como “Consentimiento”, pero permitía incluir cualquier otro tipo de leyenda. Las siguientes capturas de pantalla muestran el proceso para incluir dicha información y cómo se mostraría en una sesión abierta contra la página de prueba: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 5. En la misma fecha el funcionario actuante estuvo realizando pruebas con el usuario nº de contrato ***CONTRATO.1 en el sitio de creación de páginas web de 1&1 Internet, pudiendo comprobar que el sistema de plantillas permite incluir un mensaje inicial en la cabecera del sitio en desarrollo. Además, permitía incluir enlaces a las páginas que contengan información sobre la política de privacidad y de cookies, y que estén tituladas como tal. En las siguientes capturas de pantalla se muestra el proceso para incluir dicha información y cómo se mostraría en una sesión abierta contra la página de prueba: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en virtud de lo dispuesto en el párrafo segundo del artículo 43.1 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de comercio electrónico (en lo sucesivo LSSI). II En el presente caso, el denunciante manifiesta que la empresa 1&1, con la que tiene contratado el diseño y alojamiento de cuatro sitios web, no le permite acceder a las fuentes o software del programa para introducir otras opciones que no sean las proporcionadas en sus plantillas de configuración de dichos sitios, Según el denunciante esta circunstancia le impide, por un lado, incorporar una casilla de aceptación de la política de privacidad en los formularios incluidos en las cuatro páginas web a través de los cuales se recaban datos personales de los usuarios y, por otro lado, incorporar un aviso en las mismas informando sobre la utilización de dispositivos de almacenamiento y recuperación de datos (en adelante Por lo tanto, ante la imposibilidad de incorporar en sus sitios web tales funciones, y sin que la empresa las haya implementado en los diferentes servicios contratados, no puede dar cumplimiento a las exigencias relativas al consentimiento expreso recogidas en la LOPD, ni al requisito de información sobre el uso de En este caso la normativa a la que se refiere el denunciante afecta a los principios del derecho de información en la recogida de datos y del consentimiento del afectado recogidos en los artículos 5 y 6 de la LOPD, respectivamente, y al cumplimiento de las exigencias recogidas en el artículo 22.2 de la LSSI para la obtención del consentimiento informado para el uso de cookies. El artículo 5.1 y 2 de la LOPD dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. La exigencia de esta información, en la recogida de los datos, que regula este artículo constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento para el tratamiento de tales datos en relación con las finalidades para las que los datos sean recogidos, principio respecto del cual el artículo 6.1 de la LOPD dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. “, De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión por parte del responsable del tratamiento puede determinar un vicio de consentimiento. A su vez, el artículo 22.2 LSSI, en la redacción dada por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, la regulación nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de los datos recabados de sus equipos terminales y las finalidades para las que son utilizados, todo ello sin perjuicio de las exenciones recogidas en el tercer párrafo del mencionado precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 III De las actuaciones de inspección practicadas por esta Agencia, valoración conjunta de las mismas, se desprenden los siguientes hechos: y de la i. En las pruebas practicadas se ha constatado que el sistema de plantillas habilitado para la creación de páginas web por la empresa 1&1 permite incluir un checkbox junto a los formularios de contacto puestos a disposición de sus clientes y etiquetar el mismo con la leyenda que se considerase pertinente. ii.En dichas pruebas también se ha verificado que el sistema de plantillas permite incluir un mensaje inicial en la cabecera del sitio en desarrollo, al igual que posibilita incluir enlaces a otras páginas. Por lo tanto, no hay obstáculo para que el editor que utiliza las plantillas proporcionadas por dicha empresa pueda insertar un checkbox junto al formulario en que recaba datos personales de los visitantes a fin de obtener su consentimiento expreso para el tratamiento de los mismos , como tampoco hay impedimento para que éste pueda incluir en la página inicial del sitio web creado un aviso conteniendo información sobre el uso de cookies, el cual, a su vez, puede contener un enlace que permita al usuario acceder al documento de “Política de Cookies”. Así las cosas, procede señalar que, a la vista de las capturas de pantalla obrantes en las actuaciones previas de inspección practicadas, se enervan las manifestaciones del denunciante en relación con los hechos objeto de denuncia, ya que a través de las mismas se prueba que las herramientas de diseño de páginas web proporcionadas por la empresa denunciada permiten al editor de las mismas incorporar tales funcionalidades. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” A mayor abundamiento, durante los accesos efectuados a los sitios web del denunciante no se detectó la instalación de cookies, circunstancia que corrobora la afirmación efectuada por 1&1 al denunciante sobre que no almacena cookies por defecto en los sitios web creados mediante las plantillas que pone a disposición de sus clientes, motivo por el cual, mientras se mantenga esta situación no está obligada a informar sobre el uso de cookies en relación con dicho servicio. IV En definitiva, al no haberse constatado la existencia de hechos que motiven la imputación de una posible infracción administrativa en las materias anteriormente citadas procede acordar el archivo archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la entidad 1&1 INTERNET ESPAÑA, S.L.U. y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es