1/6 Expediente Nº: E/06025/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante Don A.A.A., Monetia S.L. y Doña B.B.B. en virtud de denuncia presentada por la Entidad GENTE AMATEUR S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de septiembre de 2014, tuvo entrada en esta Agencia escrito de la Entidad GENTE AMATEUR S.L. (*en lo sucesivo el denunciante) frente a Doña B.B.B. en lo sucesivo (la denunciada) en el que denuncia de manera sucinta lo siguiente: “Que los siguientes sitios web, no cumplen con la normativa de Protección de Datos con relación a la inscripción de ficheros e información a los usuarios: www.lauritasshowcam.com www.serwebcamer.com www.chicasconwebcam.xxx www.chicaspornocam.es Con ello se produce un claro perjuicio a los derechos de los usuarios finales y un evidente desprestigio a Entidades como mi representada, causando un grave perjuicio al existir prestadores de servicios de la Sociedad de la información con reglas de juego totalmente diferentes a pesar de lo claro de la normativa a cumplir” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 28 de octubre de 2014, se accede a Internet para comprobar la titularidad de los dominios denunciados, comprobándose que figura como registrante CDMON 1. Con fecha 12 de noviembre de 2014, se recibe escrito de la entidad 10DENCEHIPAHARD, S.L (CDMON), en el que pone de manifiesto que los datos de la titular de las páginas denunciadas es Doña B.B.B. con NIF: ***NIF.1. 2. Con fecha 12 de diciembre de 2014, se obtiene impresión de pantalla de los cuestionarios que han de cumplimentar las personas que deseen trabajar como webcamer, comprobándose que se solicita: Nick para el videochat, E-mail de contacto, Fotocopia del DNI o cédula por ambas caras, Ciudad de residencia, Breve descripción del perfil y fotografías. Asimismo, se comprueba que al seleccionar una opción para utilización de la página, te redirige a la dirección: http:// web..................... 3. Con fecha 11 de diciembre de 2014, se solicita información a la titular de las páginas en el domicilio proporcionado por CDMON, siendo devuelta por desconocido con fecha 15 de diciembre de 2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 4. Tras la localización de la titular mediante contacto telefónico, en el que aportó una nueva dirección, se recibe con fecha 14 de abril de 2015, escrito de la denunciada donde pone de manifiesto que: Los dominios son en la actualidad titularidad de su esposo, A.A.A. con DNI ***NIF.2. En las webs no se recogen datos personales de los visitantes, anuncian banners y enlaces a la mercantil, con la que tienen una relación, y ellas cuentan con su aviso legal. El sponsor con el que trabajan es: MONETIA, S.L, con domicilio en C/ San Bernardo 60 de Gijón. La web de su propiedad, a través de la que recogen sus datos es http://web..................... 5. Con fecha 20 de abril de 2015, se accede a la página web http://web.....................1, comprobándose la existencia de una cláusula denominada LEGAL, donde existe información al usuario relativa a la Ley de Protección de Datos y a la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico. Asimismo, se adjunta impresión de los ficheros correspondientes al CIF de MONETIA,S.L. que consta en el Registro General de Protección de Datos, comprobándose que la denominación social que figura es WAMCASH SPAIN, S.L. 6. Con fecha 11 de mayo de 2015, se recibe correo electrónico de un despacho de abogados en nombre de MONETIA, S.L. con el que adjunta el contrato con A.A.A., actual titular de las páginas web denunciadas, y en el que manifiesta que: MONETIA S.L., es el cambio de denominación de la entidad WAMCASH, S.L, con el mismo CIF, que figura en la inscripción de los ficheros. No obstante, está previsto un nuevo cambio de denominación, aún por determinar. .En relación a las páginas web denunciadas, son páginas que promocionan la de dicha entidad: www.cumlouder.com, por tanto los datos de los clientes los recogen ellos e incorporan a sus ficheros. En el Aviso Legal recogen varios apartados relativos a la política de privacidad de datos, solo recogen datos incluidos a través de su página web. Los datos de las chicas que quieren trabajar para el titular de las páginas denunciadas no se incorporan en sus ficheros. 7. Con fecha 18 de mayo de 2015, se accede a través de Internet a las direcciones de las páginas denunciadas, comprobándose que el cuestionario existente para la recogida de datos de las personas que deseen trabajar con ellos, ha sido retirado, poniendo en su lugar una dirección de correo electrónico, donde deben dirigirse para solicitar trabajo. 8. No existe fichero inscrito en el Registro General de Protección de Datos correspondiente a los titulares de las páginas denunciadas. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El art. 5 LOPD (Lo 15/1999) dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. III En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta Agencia 17/09/2014 en dónde se pone en conocimiento de la misma los siguientes hechos en orden a su adecuación al marco de la LOPD: “Mi entidad ha podido constatar que todos estos sitios web carecen del cumplimiento de las más mínimas normas de las anteriores disposiciones legales, desde la inscripción de los ficheros en el Registro de la AEPD hasta las obligaciones de consentimiento informado legalmente necesarias” “Con ello se produce un claro perjuicio a los derechos de los usuarios finales y un evidente desprestigio a Entidades como mi representada, causando un grave perjuicio al existir prestadores de servicios de la Sociedad de la información con reglas de juego totalmente diferentes a pesar de lo claro de la normativa a cumplir” En fecha 14/04/2015 se recibe escrito de alegaciones de la denunciada—Doña B.B.B. – la cual manifiesta lo siguiente: “Les indico que las webs no recogen ningún dato personal de los visitantes que en ellas navegan. Anunciamos mediante baners y enlaces, webs con las que tenemos una relación mercantil y en ellas hay su propio aviso legal y términos de privacidad” “…hemos cambiado el aviso legal esperando así cumplir la normativa vigente…”. Cabe por tanto señalar que con motivo del presente procedimiento se han adoptado por la parte denunciada las medidas necesarias para evitar el tratamiento de los datos de carácter personal de “cualquier persona que quisiera trabajar con ellos”, esto es, se ha retirado el cuestionario de recogida de datos por lo que no hay tratamiento de datos de carácter personal. En la actualidad los dominios “web” objeto de denuncia son de titularidad del marido de la denunciada—Don A.A.A.—en dónde se ha procedido a corregir la información suministrada en orden a su adecuación a la LOPD, en los siguientes términos: “Este sitio web no almacena ningún dato personal sobre sus visitantes”. Por otra parte, conviene tener en cuenta que siempre que se proceda al tratamiento de datos personales, definidos en el art. 3.
- a)de la Ley Orgánica 15/1999, como "cualquier información concerniente a personas físicas identificadas o identificables", que suponga la inclusión de dichos datos en un fichero, considerado por la propia norma, artículo 3.b), como "conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso", el fichero se encontrará sometido a la Ley, siendo obligatoria su inscripción en el Registro General de Protección de Datos (RGPD). De conformidad con lo dispuesto en el artículo 55 del RLOPD, todo fichero de datos de carácter personal de titularidad pública o privada, con excepción de aquellos ficheros que están expresamente excluidos de la aplicación de la LOPD en su artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 2.2, como los ficheros mantenidos por las personas físicas en el ejercicio de actividades exclusivamente personales o domésticas (p.e.: agendas de familiares y amigos, ficheros de fotografías personales), serán notificados a la Agencia Española de Protección de Datos para su inscripción en el Registro General de Protección de Datos. No solicitar la inscripción de los ficheros de datos de carácter personal en el RGPD constituye infracción leve, con arreglo a lo dispuesto en el artículo 44.2.
- b)de la LOPD. Por tanto, como primera medida se deberá proceder a realizar las medidas necesarias en orden a la inscripción en el Registro de la AEPD de los ficheros pertinentes, esto es, los relativos a la persona/s que quieran trabajar con ellos y a los que se les solicita una serie de datos de carácter personal, asumiendo en su defecto las consecuencias legales anteriormente expuestas. En segundo término, se deberá tener en cuenta en lo sucesivo el contenido del art. 5 LOPD (LO 15/1999) relativo al deber de información, de manera que se debe poner en conocimiento del titular de los datos los siguientes extremos: existencia de un fichero, carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas, consecuencias de la obtención de los datos o de la negativa a suministrarlos y la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. En tercer término, cabe indicar que si bien se produce un incumplimiento en materia de LOPD por parte de la denunciada, la misma ha procedido a adoptar una serie de medidas tendentes a corregir la situación descrita, mostrando su voluntad de colaborar de forma inmediata en la “adopción de cuantas medidas sean necesarias para cumplir la legalidad vigente”. El artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. A mayor abundamiento, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. En relación a este último aspecto, cabe indicar que en fecha 18/05/2015 se constata por el Servicio de Inspección de la AEPD que accediendo a las páginas web objeto de denuncia se ha procedido a comprobar que se “ha retirado el cuestionario de recogida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 de datos de carácter personal de las personas que deseaban trabajar con ellos”. Por tanto, en base a lo argumento se estima procedente ordenar el ARCHIVO del presente procedimiento, debiendo no obstante, la denunciada proceder a realizar el resto de medidas en el caso de que no lo haya realizado en el momento de la notificación del presenta acto administrativo, en orden a adecuar su actividad comercial al marco normativo vigente en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Don A.A.A. y a la Entidad denunciante GENTE AMATEUR S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es