1/5 Expediente Nº: E/01915/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por MEDITERRANEO REAL S.L. relativo a la ejecución del requerimiento de la resolución de referencia R/00788/2016 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento A/00299/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00299/2015, a instancia de Don A.A.A., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, (en lo sucesivo LSSI), tipificada como leve en su artículo 38.4.
- g)de dicha norma. Dicho procedimiento concluyó mediante resolución R/00788/2016, de fecha 15 de abril de 2016, por la que se resolvía “REQUERIR a MEDITERRANEO REAL S.L. de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad www.mediterraneoreal.com de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto, tal como se señala en los Fundamentos de Derecho V y VI de esta resolución. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento.” Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de investigación de referencia E/01915/2016. SEGUNDO: Recibida la resolución del citado procedimiento de apercibimiento, la representación de la entidad denunciada remitió a esta Agencia escrito solicitando el archivo del expediente al haber desaparecido las circunstancias que originaron la tramitación la apertura del mismo, lo que sustenta en las siguientes alegaciones: “PRIMERA: Que al no resultar necesarias para el funcionamiento de la web ni resultarle de utilizada al dicente, se ha procedido a la eliminación de todas las DARD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 indicadas en el hecho probado 2º de la resolución de referencia, y ello en beneficio de los derechos de los usuarios de la página y con la intención de preservar al máximo su intimidad y su derecho a la protección de datos. SEGUNDA: Por tanto, al no existir ya ninguna DARD que requiera el consentimiento expreso del usuario, se ha procedido a retirar el banner informativo sobre existencia de COOKIES.” TERCERO: Con posterioridad a la recepción del reseñado escrito, desde la Subdirección General de Inspección de Datos de esta Agencia se acede al sitio web www.mediterraneoreal.com para verificar las mencionadas manifestaciones. Fruto de dicho acceso se constata que en el terminal utilizado no se descargaron los dispositivos de almacenamiento y recuperación de datos (DARD) reseñados en Fundamento de Derecho VI de la resolución del procedimiento de Apercibimiento A/00299/2015. Asimismo, se comprueba que se ha retirado el banner que informaba sobre el uso de “cookies para mejorar la experiencia de navegación”. Estos resultados se han incorporado al presente expediente. FUNDAMENTOS DE DERECHO I Es competente para resolver la Agencia Española de Protección de Datos de acuerdo con el artículo 43.1 de la LSSI que establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
- d)e
- i)y 38.4.d),
- g)y
- h)de esta Ley”; se otorga II El artículo 22.2 LSSI, bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. El artículo 38.4
- g)de la LSSI determina que constituye infracción leve a dicha norma “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 III En el Fundamento de Derecho IV y V de la resolución R/00788/2016, de fecha se hacía constar: “V Conviene señalar que el modo de ofrecer la información relativa al artículo 22.2 de la LSSI no obedece a supuestos tasados, por lo que cualquier fórmula que satisfaga la finalidad del citado precepto es perfectamente válida, siempre y cuando permita que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal para que pueda prestar un consentimiento que se pueda considerar válidamente otorgado. Para ello resulta esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Es decir, no resulta necesario que dicha información se establezca a través de una relación exhaustiva de DARD/cookies, pudiendo proporcionarse por grupos de cookies homogéneos, siempre que recoja, en orden a asegurar la obtención de un consentimiento informado de los usuarios antes de la instalación de tales dispositivos, si son de primera o de tercera parte, finalidades perseguidas por el editor o por los terceros que gestionan la instalación y el tratamiento dado a la información obtenida a través de los distintos tipos de DARD utilizados, cuya identificación deberá facilitarse, aludan a los mecanismos de rechazo o bloqueo de las cookies y a la forma de revocación del consentimiento ya prestado, todo ello contando con que esta información habrá de estar actualizada. VI En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que el sitio web www.mediterraneoreal.com se utilizan DARD analíticas y publicitarias de tercera parte respecto de las cuales no se ofrece ningún tipo de información al usuario en cuyos terminales se instalan. Así, en el acceso efectuado con fecha 25 de mayo de 2015, enmarcado en la realización de las actuaciones previas de inspección, se constató que se descargaron los DARD que aparecen indicados en el Hecho Probado Segundo, sin que al visitante se le proporcionarse ninguna información al respecto. Esta circunstancia fue comunicada a la empresa responsable del sitio web por esta Agencia mediante la notificación del acuerdo de audiencia previa al presente apercibimiento. En el Antecedente de Hecho Tercero de dicho acuerdo se indicaba que de lo actuado “ se desprende que en el mencionado sitio web no se proporciona ningún tipo de información sobre la utilización de DARD, tipos de DARD instaladas , identidad de los responsables de su instalación, fines del tratamiento de los datos obtenidos a través de los mismos, acciones concretas que supongan la obtención del consentimiento y procedimientos de rechazo o bloqueo para su instalación.” Confirma el mantenimiento de la situación irregular, que a raíz del acceso llevado a cabo al sitio web www.mediterraneoreal.com con fecha 8 de abril de 2016, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 es decir, con posterioridad a la práctica de la notificación a la sociedad denunciada del reseñado acuerdo de audiencia previa al apercibimiento, siguen instalándose los DARD “_utma” , “_utmb”, “_utmc”, “_utmz”, “_utmt” del Servicio de Google Analytics y el dispositivo “NID” asociado al dominio google.com. Esta circunstancia se produce sin que por parte de MEDITERRANEO REAL, S.L. se ofrezca a los visitantes del portal una información clara y completa sobre el uso y finalidades de dichos dispositivos de tercera parte, a la que éstos tienen derecho como destinatarios de dicho servicio de la sociedad de la información con arreglo a lo dispuesto en el mencionado artículo 22.2 de la LSSI. Aunque la mencionada sociedad ha introducido, según se comprobó el día 8 de abril de 2016, una advertencia sobre el uso de cookies, cuyo texto literal es el que sigue: “Este sitio web utiliza cookies para mejorar la experiencia de navegación. Al continuar navegando nos dan permiso para desplegar las cookies de acuerdo con nuestra política de privacidad y cookies”, no cabe duda que este aviso no informa sobre los tipos de DARD/cookies utilizadas y su finalidad, no identifica a quien las utiliza ni proporciona información o herramienta alguna para su desactivación o eliminación. Además, en los documentos de “Aviso Legal” y “Términos y condiciones” del sitio no consta ninguna referencia al tipo de cookies utilizadas ni a las finalidades a las que responde su instalación. En conclusión, al no ofrecerse información clara y completa respecto de la descarga y uso de los DARD detectados en las visitas reseñadas, MEDITERRÁNEO REAL, S.L. incumple lo dispuesto en el artículo 22.2 de la LSSI, pues no puede entenderse que la información ofrecida a través del reseñado aviso cumpla el mandato del citado precepto. “ IV En el presente supuesto, a raíz de las comprobaciones efectuadas por esta Agencia en el sitio web titularidad de la denunciada, las cuales figuran detalladas en el Antecedente de Hecho Tercero de la presente resolución, se ha podido comprobar que la sociedad responsable del mencionado portal no utiliza en la actualidad dispositivos de almacenamiento y recuperación de datos sobre cuyo uso deba informar a los usuarios de ese Servicio de la Sociedad de la Información, previamente a su instalación, por lo que no incumple el deber de información al que se refiere el artículo 22.2 de la LSSI, procediendo, por tanto, el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a MEDITERRANEO REAL S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es