E-02076-2020

1/9  Procedimiento Nº: E/02076/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25/07/19, tuvo entrada en esta Agencia escrito, presentado por D. A.A.A. (en adelante, “el reclamante”), en el que denuncia al CONSELL INSULAR D ´EIVISSA con CIF.: S0733001B, (en adelante “el reclamado”), en los siguientes términos: “En Ibiza para pedir cita previa a la ITV hay que usar la siguiente página web que figura en www.conselldeivissa.es: (http://82.223.145.171/CitaPreviaIbiza /Publico/Citar.jsp? estacion =0703). Dicha web pide datos personales, los cuales son obligatorios, pero no posee ninguna advertencia sobre el tratamiento de dichos datos ni indica el responsable ellos ni como ejercer los derechos del titular de los datos sobre ellos. Además, hace uso de cookies, pero no advierte sobre ello al usuario. Pero lo más preocupante es que el formulario donde se introducen los datos no está encriptado por https, sino que es una web http normal viajando los datos personales en texto plano”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 15/10/19, se dirige un requerimiento informativo a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado al organismo reclamado, con fecha 15/10/19, a través del servicio de Notific@, resultó aceptado el 15/10/

1. TERCERO: Con fecha 05/02/20, se consulta la página web www.conselldeivissa.es comprobándose en ella que, en la parte inferior de la página de inicio existe un banner con la leyenda: “Consell d'Eivissa. av. d'Espanya
2. 07800 Eivissa - Illes Balears (España) · Teléfono: 971 19 59 00 oac@conselldeivissa.es Junto a la leyenda anterior existen dos links, uno denominado “accesibilidad” y otro denominado “aviso legal”: a).- A través del link “aviso legal” se accede a una página informativa sobre: “CONDICIONES LEGALES Y SU ACEPTACIÓN Estas condiciones generales, regulan el uso del servicio del portal de Internet http://www.conselldeivissa.es. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 OBJETO A través del portal www.conselldeivissa.es se facilita a los usuarios el acceso y la utilización de diversos servicios y contenidos puestos a disposición de los ciudadanos de Ibiza. El Consejo de Ibiza se reserva el derecho a modificar unilateralmente, en cualquier momento y sin previo aviso, la presentación y la configuración del Portal, así como también se guarda el derecho a modificar o eliminar algunos servicios y utilidades. CONDICIONES DE ACCESO Y FUNCIONAMIENTO DEL PORTAL www.conselldeivissa.es es totalmente gratuito para sus usuarios. No obstante, la utilización de ciertos servicios estará disponible mediante suscripción previa. El usuario se compromete a utilizar el portal de manera correcta y de acuerdo con la ley. En caso de provocar perjuicios en el portal del Consejo de Ibiza, será responsable. www.conselldeivissa.es no se hace cargo del mal uso del portal y de irregularidades en los PC de los usuarios, de las que serán responsables los propios usuarios. Para dar cumplimiento a lo establecido en la Ley 34/2002, del 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, a continuación, se indican los datos de información general de este sitio web: · Titular: Consejo de Ibiza · CIF: S-0733001-B · Dirección: av. de España, 49 CP: 07800 - Ibiza (Islas Baleares) · Contacto: info@conselldeivissa.es · Teléfono: 971 195 900 b).- A través del link “accesibilidad” se accede a un documento donde se informa en los siguientes términos: “Internet es hoy en día un medio ampliamente utilizado que debe estar a disposición de toda la ciudadanía. Las páginas web deben estar diseñadas para que sus contenidos y servicios estén disponibles para cualquier usuario y le permitan interactuar de forma total, independientemente de sus condiciones personales o del contexto de navegación. Por eso las administraciones están realizando un gran esfuerzo tanto desde un punto de vista legislativo como técnico para adaptar sus contenidos y servicios que sean accesibles para el mayor número de ciudadanos posibles. En la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, se especifica que "Las administraciones públicas adoptarán las medidas necesarias para que la información disponible en sus respectivas páginas de Internet pueda ser accesible a personas con discapacidad y de edad avanzada, de acuerdo con los criterios de accesibilidad al contenido generalmente reconocidos ... ". El World Wide Web Consortium (W3C), fundado en 1994 con el objetivo de discutir, consensuar, crear y difundir los estándares de la web, creó la iniciativa Web Accessibility Initiative (WAI) que ha definido una serie de pautas, guías, técnicas y recomendaciones para difundir los principios de accesibilidad web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 en las empresas, los gobiernos, las instituciones, los desarrolladores y los usuarios. Dentro de las recomendaciones sobre accesibilidad existen diferentes puntos a satisfacer y no todos tienen la misma importancia en cuanto al impacto que tienen sobre los diferentes usuarios. Inicialmente se han definido tres niveles de conformidad (A, AA y AAA), que contienen diferentes puntos de verificación. La web del Consejo Insular de Ibiza es conforme al nivel AA, ya que cumple los requerimientos básicos para que algunas personas usuarias puedan acceder a los documentos web, de acuerdo con las recomendaciones W3C-WAI”. c).- En la misma página de inicio, www.conselldeivissa.es existen varios link, a diferentes servicios que presta el CONSELL INSULAR D´EIVISSA, entre ellos se encuentra el links, “cita previa ITV online”. A través de este link, se accede a otra página, en cuya cabecera se indica: “CONSELL INSULAR D´EIVISSA-Cita Previa ITV”. c.1.) En la parte inferior de esta página, existe un link “Política de Privacidad” que redirige a un documento donde proporciona la siguiente información: - Responsable del Tratamiento de sobre datos personales “Los datos que se recojan o nos facilitas voluntariamente por medio de la Página Web, ya sea por la navegación En la misma, así como todos Aquellos que nos puedas facilitar en los formularios de contacto, vía email o por teléfono, serán recabados y Tratados miedo el Responsable del Tratamiento, cuyos datos se indican a continuación - Responsable del Tratamiento: Consejo Insular de Ibiza Dirección: av. de España, 49 CP: 07800 - Ibiza (Islas Baleares). Teléfono: 971 195 900 Contacto DPO: info@conselldeivissa.es - finalidades vamos a tratar sobre datos personales y que es la legitimación El Consejo Insular de Ibiza tratará los datos para la finalidad especifica de servcio de inspecciones sobre el vehículo que el Cliente ha Contratado, directamente por el titular del vehículo, por el arrendatario a Largo Plazo o miedo el representante Autorizado del Cliente y solo tratará Aquellos datos que resultan relevantes para la consecución de dicha finalidad. En concreto, se trata los Datos conforme a la base y los finas que se indican a continuación: Para el cumplimiento de obligaciones contractuales (art. 6.1.b del GDPR). • Los Datos se tratan para prestar el Servicio de ITV a sobre Clientes; para gestionar la relación comercial con ellos y para asegurar la correcta prestación de los servicios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Para la satisfacción de intereses legítimos (art. 6.
3. F del GDPR). • Los datos serán Tratados para el cumplimiento efectiva del Contrato: prestaciones de servicios. • Envío de recordatorios sobre vencimientos de los Plazos para la próxima inspecciones, precio y ubicación de las estaciones a las que Reducir texto <br> acudir. • Evaluar reclamaciones y ejercicio la defensa en litigios. • Levantarse a quepo las labores de gestión de Riesgos y cumplimiento normativo. Como consecuencia de super Consentimiento (art. 6.
4. A del GDPR). • Envío de comunicaciones comerciales. • Tratamiento de las cookies. Este Consentimiento Puede ser retirada en cualquier momento. Debida a disposiciones legales (art. 6.1.c del GDPR) o en aras del interés público (art. 6.1.e del GDPR). • Por obligaciones legales comunicaremos el Resultado de la Inspección a la Dirección General de Tráfico o en la Administración correspondiente. En el caso de no poder Recoger dichos datos personales, no Podremos comprometernos a prestarle los servicios acordados y, por tan, cumplir con las obligaciones contractuales (en cuyo caso se le informará debidamente). - comunicaremos sobre datos A Autoridades, Entidades y Administraciones Públicas con las que existe un disposición legal o contractual de Obligado cumplimiento. A Terceros necesarios para la prestación de Nuestros servicios siempre Actuando como encargados del Tratamiento nombrados conforme a lo dispuesta en el art. 28 del GDPR o bien como responsables del Tratamiento Independientes, en función de las circunstancias y los finas de cada una de las relaciones contractuales. - Plazo almacenaremos sobre datos Los datos personales serán mantenidos Mientras se mantenga la vinculación con el Responsable. Al finalizar los MISMOS, los datos personales Tratados en cada una de las finalidades indicadas se mantendrán durante los Plazos legalmente previstos o durante el Plaza que un juez o tribunal los puedo requerir atendiendo el Plaza de prescripciones de acciones judiciales. Los datos Tratados se mantendrán en tanto no se expiran los Plazos legales aludidos Anteriormente, si hubiera obligación legal de mantenimiento, o de no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 existir ese Plazo legal, subasta que el Interesado solicite super supresion o revoque el Consentimiento otorgada. - Transferencia Internacional de Datos No existe transferencia internacional de datos y en caso de ser necesaria esta transferencia a organización internacional y / o país no Situados Dentro del Espacio Económico Europeo (EEE), se quitará a quepo conforme a uno de los Métodos permitidos por la legislación Vigente. - Derechos Los derechos contemplados en los artículos 15 a 22 del GDPR, que se indican a continuación, mediante el envío de una solicitud: • A saber, si estamos tratando sobre datos o no. • A acceder a sobre datos personales. • A solicitar la rectificación de sobre datos si son inexactos. • A solicitar la supresion de sobre datos si ya no son necesarios para los finas para los que fuerón recogidos o si nos retira el Consentimiento otorgada. • A solicitar el derecho a oponerse a un determinación Tratamiento basada en el Consentimiento del Interesado. • A solicitar la limitación del Tratamiento de sobre datos, en Algunos Supuestos, en cuyo caso Sólo se conservan de ACUERDO con la normativa Vigente. • A llevar sobre datos, que le serán facilitados en un formato estructurado, de uso común o lectura mecánica. • A presentar una reclamación ante el Delegado de Protección de Datos (en super caso) o ante la Agencia Española de Protección de Datos o autoridad de control competente, si cree que no le Hemos atendido correctamente. • A revocar el Consentimiento para cada finalidad específica, sino que Ello afecto a licitud del Tratamiento basada en el Consentimiento expreso. Le informamos que podrá ejercitar Los derechos anteriores mediante escrito junto con fotocopia de DNI al Delegado de Protección de Datos, en: Consejo Insular de Ibiza Avenida de España, 49 07800 - Ibiza (Islas Baleares)”. c.2.) En la parte inferior de la página existe un banner con la siguiente leyenda: Si continúa navegando, entendemos que acepta el uso de cookies. + info A través del link, “+ info”, se accede a la página de “Política de cookies”. En ella se informa de: - Qué son las cookies Para qué se utilizan las cookies en este sitio web Consentimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 “Le informamos que Necesitamos que Usted preste sume Consentimiento para poder utilizar las cookies tal y como queda reflejado en Nuestra Política de Privacidad. El usuario podrá retirar en cualquier momento su consentimiento relacionado con la Política de Cookies, y podrá eliminar las cookies almacenadas en su equipo a través de los ajustes y configuraciones de su navegador de Internet. Para más información consultar el Apartado "Configuración del usuario para evitar Cookies" de esta Política”. - Tipos de Cookies Uso de Cookies miedo Parte del Consejo Insular de Ibiza: (propósito-titular-caducidad y tipo) Qué ocurría si se deshabilitan las Cookies Configuración del usuario para evitar Cookies Cambio en la Política CUARTO: Consultado, con fecha 05/02/20, el sistema informático de este Organismo, no consta que respuesta alguna se haya dado a los efectos legales oportunos por la entidad reclamada, en el requerimiento notificado con fecha 15/10/
5. QUINTO: Con fecha 27/03/19 y de conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos en su artículo 64.2, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la denuncia presentada por el reclamante. FUNDAMENTOS DE DERECHO I Competencia: - Sobre la Política de Privacidad: En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la Política de Cookies: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II A).- Sobre la Política de Privacidad de la entidad reclamada: Al acceder a la Política de Privacidad de la página web indicada, proporciona información sobre: - Como se recoge, utiliza y se almacena la información recogida del usuario. Quién es el responsable del tratamiento de los datos personales Qué información recopilan. Con qué finalidades tratan los datos recogidos. Cuál es la legitimación para el tratamiento de datos. Por cuánto tiempo conservan los datos personales. A qué destinatarios se comunicarán los datos. Los derechos que pueden ejercer los usuarios. El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el art 49.1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. En el presente caso, del análisis realizado sobre la información obtenida de la “política de privacidad” de la página web reclamada, se constata que no vulnera lo establecido en el artículo 13 del RGPD. III B).- Sobre la Política de Cookies de la página principal de la web www.conselldeivissa.es se observa que no existe ningún banner que informe sobre la utilización de cookies ni ningún link que redirija a la “política de cookies”. C).- Sobre la Política de Cookies de la página web, “CONSELL INSULAR D´EIVISSACita Previa ITV”, accesible a través del link existente en www.conselldeivissa.es y aplicando las recomendaciones marcadas en la “Guía de Uso de Cookies”, editada por esta AEPD, en noviembre de 2019, se constatan las siguientes anomalías: - Según el punto 3.1.2.
6. de la Guía, el banner sobre cookies que se despliega al acceder a la página: “Si continúa navegando, entendemos que acepta el uso de cookies” no proporciona la información genérica de las finalidades de las perfiles basados en la navegación de los usuarios” - En la página de la “Política de Cookies”, para la desactivación o eliminación de las cookies se remite al navegador que esté instalado en el equipo terminal, pero no existe ningún mecanismo que permita rechazar todas las cookies. Los hechos expuestos podrían suponer por parte de la reclamada la comisión de la infracción del artículo 22.2 de la LSSI. No obstante, según se indica en el anexo de la citada Ley, se entenderá por "Servicios de la sociedad de la información": “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, la LSSI no es de aplicación las Administraciones Públicas, puesto que éstas no tienen el carácter de prestador de servicios de la sociedad de la información definido en su anexo de la citada Ley. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante D. A.A.A. y al CONSELL INSULAR D´EIVISSA. No obstante lo anterior, y en aplicación al principio de trasparencia, se emplaza al CONSELL INSULAR D´EIVISSA para que adapte la página web de su titularidad a lo legalmente establecido en la LSSI, para lo cual puede aplicar las recomendaciones indicadas en la “Guía sobre Cookies”, publicada por la Agencia Española de Protección de Datos, en noviembre de
7. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es