E-05987-2017

1/7 Expediente Nº: E/05987/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por FEDERACIÓN DE DISTRIBUIDORES CINEMATOGRÁFICOS - FEDICINE y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25/09/2017, tuvo entrada en esta Agencia escrito de la representante de la FEDERACIÓN DE DISTRIBUIDORES CINEMATOGRÁFICOS – FEDICINE, en la que denuncia a la página web albergada en el dominio ***WEB.1 identificando el titular de la página web que constan en el aviso legal de la misma. Denuncia la recogida de datos a través del enlace ***URL.1 consistentes en nombre y correo electrónico. El registro del foro requiere una validación a través de un enlace que la página web envía al correo proporcionado La página web utiliza cookies sin que existe aviso alguno sobre el particular al usuario. En la citada página web, en la pestaña de “Contacto” aparece un recuadro que solicita información relativa al nombre y email para el envío del mensaje que se desee y contactar con la página web (todos los campos son requeridos) SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En fecha de 22 de diciembre de 2017 se practican las siguientes diligencias: 1. Respecto de la Identidad del Titula del dominio y Prestador de Servicios: 1.1 Se realiza la busqueda en Google utilizando los terminos E.E.E., y los resultados de búsqueda que se muestran en primer lugar es ***WEB.2 1.2 Se introduce en la barra de direcciones del navegador la dirección web ***WEB.1 y se redirige la navegación al sitio web ***WEB.2: 1.3 en el enlace que consta en AVISO LEGAL de la página web ***WEB.2 se muestra la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 (…)Datos Identificativos del titular del sitio web  Nombre: A.A.A.   Identificación Personal Celula : ***IP.1 Su domicilio social: ***DIRECCION.1 1.4 Consultada la titularidad del dominio ***WEB.1 en www.interdomain.es se verifica que no consta asignado a ningún titular. 1.5 Consultada la titularidad del dominio ***WEB.2 en www.interdomain.es se verifica que no consta asignado a ningún titular. 1.6 Consultada la titularidad del dominio ***WEB.1 en whois.icann.org figura la siguiente información (…) Registro de WHOIS sin procesar (…) 1.7 Consultada la titularidad del dominio ***WEB.2 en whois.icann.org figura la siguiente información: (…) No se ha encontrado el dominio de segundo nivel solicitado en el servidor de WHOIS del registro o registrador (…) 2. Respecto de la recogida de datos de carácter personal en los enlaces ***URL.2 y en ***URL.3, en ambas se muestra el siguiente resultado: (…) No se ha podido encontrar la dirección IP del servidor ***WEB.1 (…) 3. Mediante comunicaciones electrónicas de fechas 19 y 30 de enero de 2018, se solicita información a la dirección de correo que aparece en la página web ***WEB.1 respecto del uso de DARD y su adecuación a la LSSI. 4. Mediante escritos de fecha 31/01/2018 la titular de la página web aporta información respecto de la adecuación de la página web a la LSSI. 5. En fecha de 31/01/2018 se accede a la página web ***WEB.2 verificándose las modificaciones introducidas respecto del uso de DARD, y la descarga de un DARD con finalidades técnicas para la prestación del servicio. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). II Por su parte, el artículo 22.2 de la LSSI, señala lo siguiente: Los prestadores de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III El Anexo de la LSSI define en su apartado

1. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
2. a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad de la Información a A.A.A. como responsable de las páginas web objeto de análisis en las presentes actuaciones y por tanto situarla bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 usuario. En el presente caso, ha resultado probado que la entidad denunciada a través de la página web instalaba DARD de terceros de carácter persistente con finalidad de analítica web y publicitarias. Es decir, DARD no exentos del deber de obtener el consentimiento del usuario con carácter previo a su instalación, en definitiva el sitio web no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI. IV Relacionando dichas exigencias con la información ofrecida a través de la citada página web en las pruebas realizadas sobre DARD en su página web, a lo señalado en el fundamento de derecho anterior, hay que añadir que tras las solicitudes de información realizadas durante las actuaciones previas de inspección, se verificó que A.A.A., adecuó el sitio web a los deberes de información y consentimiento que requiere la LSSI para el uso de DARD: estableció un sistema de información por capas, impidió la descarga de DARD a menos que el usuario los hubiera aceptado. Únicamente se verificó la descarga de una DARD exento del deber de obtener el consentimiento informado del usuario para su utilización por el prestador del servicio. V El artículo 39 bis apartado 2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: 2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
3. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
4. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
5. a)y
6. b)del citado apartado 2 del artículo 39 bis. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Ahora bien, se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica de esta figura ,que pese a referirse al apercibimiento regulado en el artículo 45.6 de la LOPD tiene plena aplicación al apercibimiento regulado por la LSSI, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por la investigada, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO.- NOTIFICAR la presente Resolución a A.A.A. y FEDERACIÓN DE DISTRIBUIDORES CINEMATOGRÁFICOS - FEDICINE. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es