E-06027-2017

1/6 Expediente Nº: E/06027/2017  RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASOCIACION RECORTES CERO, en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19/09/2017, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante), en el que denuncia a ASOCIACION RECORTES CERO (en lo sucesivo el denunciado) por los siguientes hechos: en la página ***WEB.1 existe un formulario en el que se recogen datos personales sin que se informe sobre el uso que se les va a dar. Que según el denunciante tuvieron lugar a fecha de: 19/9/2017 Y, entre otra, anexa la siguiente documentación:  Captura de pantalla con el formulario incluido en ***WEB.1  Copia de la consulta en el registrador del dominio de ***WEB.1 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En la documentación aportada en la denuncia, y en las diligencias realizadas el día 24/10/2017 no se encuentra en la ***WEB.1 referencias a condiciones de uso o políticas de privacidad. Si existe un formulario “PARTICIPA” en el que se recogen los campos: “Nombre” y “e-mail”. 2. En el escrito de respuesta de la Asociación Recortes Cero (en adelante Recortes Cero), aportan copia de la inclusión en el registro de ficheros de la AGPD de un fichero denominado “ASOCIADOS”, a fecha 31/01/2018. En dicho escrito aportan el “Informe de Adecuación de la web a la LSSI” en cuyo punto 3.-Protección de Datos se refleja: “[…] los datos facilitados a través del sitio web mediante los correspondientes formularios, si los hubiera y los correos electrónicos recibidos solicitando información o enviando su currículum vitae y/o los datos aportados en el registro de suscripción del boletín informativo, y C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/6 que tienen la consideración de datos de carácter personal, serán incorporados a ficheros y tratados automatizadamente o no […]” “[…] la finalidad del tratamiento será la de gestionar la petición realizada a través de la web, es decir formar parte como usuario de la ASOCIACIÓN RECORTES CERO, y da su consentimiento expreso a poder publicar sus datos con los diferentes manifiestos que usted firma, a publicar su imagen, y a publicar su puesto de trabajo o si relevancia social… “[…]En cualquier caso, el usuario siempre dispondrá de sus derechos de acceso, rectificación, cancelación y oposición que podrá ejercer ante “ASOCIACIÓN RECORTES CERO“ en (C/...1)… A fecha 23/2/2018 se comprueba que la sección aviso legal de la ***WEB.1 presenta el texto anteriormente descrito. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 5 de la LOPD establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/6
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
9. d)y
10. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/6 El artículo 17.2 de la LOPD se refiere al “Procedimiento de oposición, acceso, rectificación o cancelación”. Y el artículo 24.3 del RLOPD establece en cuanto a las “Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición” que: “El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado”. Por otra parte, el artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
11. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
12. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. IV En el presente caso, el afectado denuncia que en la página web del dominio http://***WEB.1 se recogen datos personales no informando de uso de los mismos, de la existencia de ficheros, ni de la posibilidad de ejercitar los derechos ARCO (acceso, rectificación, cancelación y oposición) y, por último, tampoco informan en el sentido señalado en el artículo 5 de la LOPD. En primer lugar, de la documentación aportada al expediente y de las verificaciones llevadas a cabo por los servicios de inspección, es cierto que en un principio no se obtuvieron las referencias oportunas a las condiciones de uso y políticas de privacidad en la web denunciada; si bien, también lo es que las citadas referencias han sido incorporadas posteriormente. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/6 Hay que señalar que el citado dominio, que estaba registrado a nombre de B.B.B., en la actualidad es titularidad de Asociación Recortes Cero. Ha sido la citada asociación la que ha aportado justificante de la inscripción en el Registro General de Protección de Datos de la Agencia de un fichero que fue dado de alta el 31/01/2018 con la información recopilada en su web. También aportan un Informe sobre su adecuación a la Ley de Servicios de la Sociedad de la Información y el Comercio Electrónico (LSSI), el tratamiento de los datos recogidos, así como el procedimiento para informar de conformidad con el artículo 5 de la LOPD; en la página figuran las Condiciones de Uso y Política de privacidad en la que se explicita el tratamiento a los datos recogidos y la forma de ejercer los derechos ARCO. Y si bien la web ha estado inaccesible; a partir del 23/02/2018 se ha podido comprobar que existe en la web la sección aviso legal que recoge los cambios indicados en el informe anterior. Ha de señalarse que si bien estaríamos ante una infracción a la LOPD, en el caso examinado concurren circunstancias especiales que atenúan su responsabilidad procediendo apercibir al responsable de la misma. No obstante, en congruencia con la naturaleza atribuida a la figura del apercibimiento –alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la Audiencia Nacional en numerosas sentencias concluye que cuando las medidas pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el archivo de las actuaciones. En este sentido, la sentencia de la A.N. de 29/11/2013 (Rec.455/2011), en su Fundamento de Derecho Sexto señala, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, que”no constituye sanción” y que se trata de”medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una potestad diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. Por todo ello, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la sentencia anterior deber acordarse el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/6  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASOCIACION RECORTES CERO, B.B.B. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es