E-05549-2015

1/8 Expediente Nº: E/05549/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinadas las actuaciones obrantes en el expediente de investigación E/05549/2015 seguido al objeto de constatar la ejecución del requerimiento de medidas correctoras efectuada en la resolución R/01913/2015, dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de Apercibimiento nº A/00166/2015, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: Con fecha 4 de agosto de 2014 se registra de entrada en esta Agencia denuncia formulada por la Agrupación de Tráfico, Sector Andalucía del Grupo de Investigación y Análisis de Tráfico de la Guardia Civil (Dirección General de la Guardia Civil) , contra Doña A.A.A. - AUTOESCUELA XXXXX SEVILLA, en adelante la denunciada o CMR, por recoger datos de carácter personal mediante formularios en la página web www.autoescuela..........com de su titularidad sin proporcionar la información requerida en el artículo 5 de la LOPD. En dicha denuncia también se citaba a Don B.B.B. como persona vinculada a la creación y gestión de la citada página web, la cual, según información facilitada por la Agrupación de Tráfico denunciante figuraba a nombre de la denunciada. SEGUNDO: Notificado a la denunciada en el Boletín Oficial del Estado nº 179, de fecha 28 de julio de 2015 , el “Acuerdo de Audiencia Previa al Apercibimiento” acordado con fecha 18 de junio de 2015, con fecha 31 de agosto de 2015 se adopta por la Directora de la Agencia Española de Protección de Datos resolución nº R/01913/2015 en el procedimiento de apercibimiento de referencia A/00166/2015. En virtud de dicha resolución se acuerda APERCIBIR a Doña A.A.A. AUTOESCUELA XXXXX SEVILLA, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD), por infracción del artículo 5 de la LOPD, tipificada como infracción leve en el artículo 44.2 c de la citada Ley Orgánica. Asimismo, en la misma se resuelve REQUERIR a la denunciada, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes a contar desde la notificación de dicho acto: “2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a adecuar la página web que gestiona procediendo a incluir en el formulario de captación de clientes la información necesaria para que quede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 constancia del fichero en que se conservaran los datos de los afectados, así como el modo de ejercer sus derechos (art. 15 LOPD). A modo de ejemplo: “ Los datos que nos suministre a través de los formularios serán tratados de conformidad con la normativa reguladora de protección de datos”. La política de protección de datos se deberá reflejar en la página web de una manera accesible para cualquier interesado, siendo recomendable incluirla como “Clausula Deber de Información” o estar a disposición de cualquier titular de los datos en el apartado “Protección de Datos” debiendo informarle de la forma de darse de “Baja” en el caso de que no desee ser cliente de la entidad. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando todos aquellos documentos que estime preciso en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior, así como visualización a través de capturas informáticas del cumplimiento de lo expuesto (aparatado Clausula del Deber de Información).” En dicha resolución se advertía que en caso de no atender el citado requerimiento, para cuya comprobación se abría el expediente de investigación E/05549/2015, podría incurrir en una infracción del artículo 37.1.

1. f)de la LOPD,, tipificada como grave en el artículo 44.3.
2. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. La citada resolución de Apercibimiento se notifica a la denunciada con fecha 11 de septiembre de 2015. TERCERO: Con fecha 5 de octubre de 2015 se registra de entrada en esta Agencia un escrito de CMC aportando capturas de pantalla de la página web www.autoescuela..........com para que quede constancia de la adecuación de la misma a lo previsto en el artículo 5 de la LOPD. CUARTO: A la vista de la información contenida en las capturas aportadas por la denunciada, y en el marco del expediente de actuaciones previas de investigación E/05549/2015, se realizan las siguientes actuaciones: 4.1 Con fecha 9 de octubre de 2015 se accede a la mencionada página web al objeto de verificar las medidas correctoras comunicadas por la denunciada, constatándose que la cláusula informativa no identifica la persona física o jurídica responsable del fichero en el que se registran los datos recabados ni señala la finalidad para la que se recogen , estableciendo como dirección a la que dirigir las solicitudes de ejercicio de derechos de acceso, rectificación, cancelación y oposición la cuenta de correo electrónico .....1@autoescuela..........com 4.2 Con fecha 5 de enero de 2016 se accede nuevamente al www.autoescuela..........com comprobándose los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid sitio web www.agpd.es sedeagpd.gob.es 3/8
3. a)En la página principal del sitio web no se observa ningún enlace a aviso legal o política de privacidad que permita conocer al responsable de la misma.
4. b)En la página de matrícula on line 1 obra un formulario en el que se recogen el nombre, teléfono y dirección de correo electrónico del alumno. En un video que se muestra al acceder a la página, CMC explica que el curso puede empezar online sin entregar la documentación (DNI, certificado médico y tasas de tráfico) y que posteriormente se le remitirá la documentación necesaria y se concertará una cita con el tutor.
5. c)En la página de contacto figura un formulario de contacto2 en el que se recogen el nombre, teléfono y dirección de correo electrónico, además del mensaje, de quien quiera contactar con el sitio web.
6. d)Únicamente en la página que contiene el formulario de contacto se localiza una cláusula de informativa relativa al tratamiento de los datos. También aparece un Aviso Legal. En la cláusula informativa contenida en la misma se identifica a “AUTOESCUELA.........” como responsable del fichero en el que se incluirán los datos proporcionados en el sitio web. No se proporciona la razón social o nombre y apellidos del responsable del fichero ni el NIF o CIF del mismo. En relación con el ejercicio de los derechos se indica que “…en cualquier momento usted podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición, dirigiéndose con una solicitud escrita y firmada, incluyendo su nombre, apellidos y fotocopia del D.N.I. u otro documento acreditativo válido, en la que solicite el ejercicio de estos derechos a .....1@autoescuela..........com. Para su comodidad puede acceder y rectificar sus datos mediante la opción contacte con nosotros (gratuita, dentro de la página web, área de clientes, usuarios registrados, etc.)”. No se proporciona ninguna dirección postal. Respecto a la finalidad, se informa de que es “…informarle de nuestros servicios que Vd. solicita, y en general, información relacionada con la actividad y fines de AUTOESCUELA..........”.
7. a)El aviso legal tampoco identifica al responsable del sitio web, refiriéndose al mismo bajo la fórmula “AUTOESCUELA..........COM”. 4.3. En respuesta al requerimiento de información realizado con fecha 5 de enero de 2016 a la denunciada, se recibe con fecha 15 de febrero de 2016 un escrito de quien se identifica como abogado de JCGG manifestando, entre otros extremos, que:
8. a)Reconocen espontáneamente su responsabilidad en cuanto a la falta de diligencia a la hora de tratar los datos personales de su base de datos.
9. b)“…así como adoptar en aras de la máxima urgencia viable las medidas oportunas para que en ningún momento pueda volver a repetirse una vulneración de la privacidad de los datos de los que somos responsables.”
10. c)El verdadero titular del sitio web denunciado es JCGG, siendo CMC un mero familiar que le hizo el favor de registrarle el dominio referido en su momento y 1 http://www.autoescuela.....................1.html 2 http://www.autoescuela.....................2.html C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 que no tiene ninguna vinculación posterior con la actividad de la web.
11. d)“El motivo por el cual el titular de la web no aparece ni en el aviso legal ni en la política de privacidad ha sido debido a un asesoramiento inadecuado o poco acertado.”
12. e)Han procedido a la inscripción del fichero de clientes el 13 de febrero de 2016. Consultado el 4 de abril de 2016 el Registro General de Protección de Datos se localiza un fichero denominado “CLIENTES” inscrito el 26 de febrero de 2016, en el que consta JCGG como titular.
13. f)En respuesta a la solicitud de “copia de los formularios y documentos utilizados para sustanciar la relación contractual entre usted y los clientes de www.autoescuela..........com”, se limitan a indicar que éstos constan en las páginas 10 y 11 del documento de seguridad.
14. g)No existe ningún contrato firmado con el titular de las plataformas www.miteorico.com y www.teorico.net al entender que son los propios alumnos los que suscriben sus datos voluntariamente en las plataformas, siendo informados en sus respectivos avisos.
15. h)Se han llevado a cabo las siguientes actuaciones en materia de protección de datos:  Designar un responsable de seguridad, que es JCGG.  Solicitar la ayuda de un consultor externo para adaptar las medidas de seguridad. No se identifica al consultor o sociedad que prestará dichos servicios ni se aporta evidencia alguna de que se hayan contratado los mismos u otros servicios.  Cambiar la titularidad de la web con referencia expresa a JCGG. 4.4 Con fecha 6 de abril de 2016 se comprueban los siguientes hechos:
16. a)El dominio seguía registrado a nombre de CMC, sin que en el sitio web consten los datos identificativos de JCGG en calidad de titular o responsable del mismo.
17. b)La información que figura en la denominada “Cláusula Deber de información art. 5 LOPD” insertada en la página de contacto del sitio web es idéntica a la existente durante la primera visita el 5 de enero de 2016. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
18. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Carácter Persona. II En el presente supuesto, y sin perjuicio de que en el Antecedente de Hecho Cuarto de esta resolución ha quedado probado que la página web analizada continúa sin adecuarse a las exigencias previstas en los apartados 1 y 2 del artículo 5 de la LOPD, en primer lugar, y con carácter previo al examen de la cuestión de fondo, procede examinar la excepción sobre la falta de legitimación pasiva que se desprende de las actuaciones practicadas. Así, de la información obtenida a raíz de las actuaciones practicadas en el expediente E/05549/2015 se desprende que aunque el Apercibimiento de referencia A/00166/2015 fue instruido a la persona física que figura como titular del dominio autoescuela............com, sin embargo de las comprobaciones efectuadas para constatar el cumplimiento de las medidas requeridas a la denunciada y, especialmente, debido al contenido de la contestación efectuada por el representante legal de JCGG al requerimiento de información realizado a CMC por la AEPD, escrito en el que se identifica a JCGG como titular del sitio web estudiado y del fichero “Clientes” inscrito en el Registro General de Protección de Datos con fecha 13 de febrero de 2016, resulta que no hay suficientes elementos de prueba que permitan afirmar que CMC sea responsable de la página web ubicada en dicho dominio ni, tampoco, del tratamiento de los datos de carácter personal recabados a través de los formularios contenidos en dos páginas del citado sitio web. A este respecto, ha de tenerse en cuenta lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), que establece lo siguiente: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Por su parte, el artículo 43.1 de la LOPD, que establece lo siguiente: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por lo cual, no estando probado que la denunciada ostente la condición de titular de la mencionada página web y estando acreditado que JCGG es el responsable del fichero de “Clientes”, se plantea la situación de que CMC no puede llevar a cabo en el sitio web www.autoescuela..........com las medidas correctoras necesarias de cesación de la actividad constitutiva de la infracción, como se refiere a las mismas la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), para incluir junto a cada uno de los formularios de recogida de datos de carácter personal una cláusula informativa o un enlace a un documento que contenga las advertencias de los apartados 1 y 2 del artículo 5 de la LOPD, tal y como le fue requerido a la misma al resolver el procedimiento de Apercibimiento con fecha 31 de agosto de 2015, fecha en que se ignoraba dicha circunstancia. En consecuencia, al no poder llevar a cabo CMC los cambios que le fueron requeridos por los motivos antes señalados, se considera que no hay culpabilidad en su conducta por incumplimiento del requerimiento de adopción de medidas correctoras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 acordado en su día en la mencionada resolución de Apercibimiento, procediendo el archivo de las actuaciones de investigación practicadas en el expediente E/05549/2015. III En segundo lugar, ha de tenerse en cuenta que el artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece respecto de las actuaciones previas que: “tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” Con arreglo a lo cual, teniendo en cuenta que la denuncia de la Agrupación de Tráfico, Sector Andalucía del Grupo de Investigación y análisis de Tráfico de la Guardia Civil tuvo entrada en esta Agencia en fecha 4 de agosto de 2014, procede declarar la caducidad de las actuaciones respecto de JCGC del expediente E/05465/2014 al haber transcurrido más de doce meses desde la fecha de entrada de dicha denuncia. IV No obstante lo anterior, el artículo 92.3 de la Ley de Régimen Jurídico y de las Administraciones Públicas y del Procedimiento Administrativo Común establece que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Al respecto, la Audiencia Nacional viene estableciendo (por ejemplo, en su Sentencia de 21/10/2014 ) que: “El artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, "no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción". Por consiguiente, declarada la caducidad de unas actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, no se encuentra imposibilitada la Administración actuante para iniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En el presente caso, estamos ante una presunta infracción leve al artículo 5 de la LOPD, cuyo plazo de prescripción es de un año de conformidad con el artículo 47.1 de la citada norma, que en el supuesto examinado, al tratarse de una infracción de naturaleza continuada, debe computarse a partir del día 6 de abril de 2016, fecha en la que se constató por esta Agencia que en el sitio web www.autoescuela..........com C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 continuaban recabándose datos de carácter personal a través de dos formularios sin darse cumplimiento adecuado al deber de información establecido en los apartados1 y 2 de dicho precepto. En consecuencia, al no haber prescrito la supuesta infracción objeto de denuncia, no existe impedimento alguno para ordenar la apertura nuevas actuaciones de investigación bajo la referencia del expediente E/03771/2016, a los efectos de que desde la Subdirección General de Inspección de Datos se realicen las comprobaciones necesarias en lo que respecta a la adecuación a la normativa de protección de datos del tratamiento efectuado por el responsable del fichero resultante de la recogida de los mencionados datos en la forma descrita con anterioridad, debiendo también identificarse a los presuntos responsables de las posibles infracciones que puedan detectarse. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR por caducidad las actuaciones de investigación practicadas respecto de Don B.B.B. en el expediente de referencia E/05465/2014. SEGUNDO: ARCHIVAR las actuaciones de investigación practicadas en el expediente de referencia E/05549/2015. TERCERO: ORDENAR el inicio del expediente de investigación E/03771/2016 al objeto de determinar si el tratamiento de los datos de carácter personal recabados a través de la página web www.autoescuela..........com se adecúa a la normativa vigente en materia de protección de datos y determinar los presuntos responsables de las posibles infracciones cometidas. CUARTO: NOTIFICAR el presente Acuerdo a A.A.A. y a la Agrupación de Tráfico, Sector Andalucía del Grupo de Investigación y análisis de Tráfico de la Guardia Civil. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es