1/6 Expediente Nº: E/04605/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE MURCIA y la entidad SOZPIC, S.L. en virtud de denuncia presentada por el GRUPO MUNICIPAL SOCIALISTA DE MURCIA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de julio de 2017, tuvo entrada en esta Agencia escrito del GRUPO MUNICIPAL SOCIALISTA DE MURCIA (en lo sucesivo el denunciante) contra el AYUNTAMIENTO DE MURCIA y la entidad SOZPIC, S.L. (en lo sucesivo los denunciados), comunicando que en la página web institucional del Ayuntamiento de Murcia de URL adscrita a su Concejalía de Juventud y Cooperación al Desarrollo, con URL ***URL.1, se podía observar en su parte superior un banner con el tag “#Murciasemueve”, que enlazaba con la página web de un festival llamado Summer Party cuya celebración estaba prevista para el 15/06/2017 en la localidad murciana de Molinos del Río. En dicha página web existía un botón con el título “Descarga tu entrada”, que al ser presionado daba paso a una sección donde se pedían datos personales sin informar de los extremos establecidos en el art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y sin solicitar el consentimiento para el tratamiento de los mismos. La URL de la página web del festival es: ***URL.2 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, solicitando información a la entidad SOZPIC, S.L. titular del dominio sozpic.com teniendo conocimiento de los siguientes extremos:
- a)Con fecha 02/08/2017 se intentó desde esta Agencia acceder a la página donde, según la parte denunciante, se recababan datos personales, pero ya se había sustituido dicha sección por una pantalla con el siguiente mensaje: “Promoción Finalizada. Gracias por participar”. Se deduce que la página denunciada tenía un carácter temporal y solo estaba accesible con anterioridad a la celebración del festival Summer Party, para el cual proporcionaría el servicio de descarga de entradas.
- b)Con fecha 13/09/2017, una de las empleadas de SOZPIC S.L., manifestó por vía telefónica que: La página web objeto de la denuncia fue construida en virtud de un acuerdo con el Ayuntamiento de Murcia. Los datos personales que se recababan en dicha página web consistían en nombre, apellidos y dirección de e-mail, con el propósito de enviar a dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 dirección una entrada para el festival Summer Party a celebrar en Molinos de Rey (Murcia) el 15/06/2017. Las entradas que se generaban desde la web tras la introducción de los datos y accionar el botón correspondiente no eran personalizadas. Es decir, no se utilizaban los datos recabados para personalizar las entradas que se generaban y enviaban. Tampoco se creó un fichero de datos para alojar la información recabada, la cual se utilizaba solo en el momento de generar la entrada y enviarla al correo electrónico introducido por el usuario. Como mucho, podrían haber quedado datos personales en los ficheros de log generados en el servidor web, pero estos ficheros tienen carácter temporal y son eliminados cuando dejan de ser necesarios para la monitorización del funcionamiento de la página web.
- c)La empresa SOZPIC, S.L. ha remitido la siguiente información: Consideran que no existió recogida de datos personales en la mencionada web http://sozpic.com/murciasemueve, y por tanto no se ha almacenado dato o información alguna, ni se ha realizado transmisión a terceros. Manifiestan que todos los datos, incluidos los correos electrónicos, quedaron eliminados con carácter inmediato. Afirman que se realizaba una advertencia a los usuarios del sitio web, programada para aparecer automáticamente en la web con carácter previo a rellenar el formulario. A éste sólo podía accederse una vez constatada la lectura de dicha advertencia. Acompañan una impresión de dos pantallas de la web: o La página web en cuestión, en la que se observa que en la parte superior se listan las actuaciones programadas para el festival. A continuación se ve el mensaje “Rellena los datos y descarga gratis tu entrada”. Los datos a rellenar son: nombre, edad y e-mail. En la parte inferior se observa un botón amarillo con el literal “Descargar”. En el pie de la página se lee “Entrada gratuita con invitación hasta completar aforo”, así como los datos de contacto de InformaJoven. o La misma página web, con la supuesta advertencia previa al acceso a la misma, en la que se lee textualmente: “De conformidad a la legislación vigente en materia de Protección de Datos de carácter personal, le comunicamos que los datos personales que faciliten no serán recogidos ni almacenados. El único destino de dichos datos será generar una respuesta automática para los mayores de edad, a fin de que les sea remitido un correo electrónico con una invitación al evento. A continuación dichos datos son eliminados con carácter inmediato. Tampoco guardaremos ni registraremos los correos electrónicos que les son remitidos como respuesta automática.” Declaran que el objeto del referido sitio web era la remisión de forma automática de invitaciones a un evento, encontrándose actualmente cerrado e inactivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la LOPD. II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Los hechos expuestos podrían suponen la comisión, por parte de la entidad SOZPIC, S.L., de una infracción del artículo 5 de la LOPD, que establece: “Art. 5 Derecho de información en la recogida de datos. 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” En el presente caso, ha resultado acreditado que a través de la web denunciada se recogían datos de carácter personal sin ofrecer la información prevista en el artículo 5 de la LOPD. De modo que los usuarios de la página web que se inscribían introduciendo sus datos personales desconocían el tratamiento al que iban a ser sometidos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. En conclusión el deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para qué se utilizarán sus datos, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular. IV El articulo 44.2
- c)de la LOPD considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ En el presente caso se cumplían los requisitos que tipifica el precepto, en la medida que a través de la página web se recogían datos de carácter personal sin ofrecer la información requerida en el art. 5 de la LOPD. V No obstante debe tenerse en cuanta que desde el 2/08/2017 dicha web no está operativa, por lo que no procede instar medida alguna. En atención a las circunstancias del presente procedimiento se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer ya no son procedentes, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE MURCIA, a la entidad SOZPIC, S.L. y al GRUPO MUNICIPAL SOCIALISTA DE MURCIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es