1/5 Expediente Nº: E/07167/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAR CONTROL LOGISTIC, S.L.. en virtud de denuncia presentada por B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia A/00201/2015, a instancia de B.B.B., con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal ( LOPD en adelante) y por infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI). Dicho procedimiento concluyó mediante resolución R/02844/2015, de fecha 23 de noviembre de 2015 por la que se resolvía: (…)REQUERIR a CAR CONTROL LOGISTIC, S.L. de acuerdo con lo establecido en los artículos 39 bis 2 de la LSSI y 45.6 de la LOPD, para que en el plazo de UN MES desde la notificación de la presente resolución. 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI y 5 de la LOPD, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto y que instaure un sistema de información que cumpla lo dispuesto en el art. 5 de la LOPD, tal como se señala en el Fundamento de Derecho VII de la presente Resolución. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/07167/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello.(…) SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 08/01/2016 escrito en el que informaba a esta Agencia en los siguientes términos: Respecto de www.logistus.es: al ser un portal en vías de construcción, únicamente se puede acceder mediante usuario y contraseña, no permite la entrada exterior hasta su lanzamiento público. Respecto de www.cclogistic.es: se desactivaron los plugins que descargan DARD de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Google Analytics y Youtube y se ha establecido una policita de privacidad visible desde todas las capas, pagina inicial y subpáginas para que el usuario pueda consultar durante toda la navegación, los enlaces con la información relativa a la política de privacidad. Se ha instaurado a pie del formulario de reserva el texto con la información necesaria para cumplir el art. 5 LOPD y casilla que el usuario debe cumplimentar. Por todo ello se ha cumplido con el requerimiento efectuado por esa Agencia. TERCERO: En fecha de 15/01/2016 por el Instructor del procedimiento se accedió al sitio web denunciada verificándose los extremos alegados por la entidad denunciada. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos objeto de imputación del expediente A/201/2015 constituyeron infracción a lo previsto en el artículo 5 de la LOPD y en el artículo 22.2 LSSI. En el Fundamento de Derecho II, VI y VII de la Resolución R/2319/2014 se hacía constar: (…) II Dispone el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso ha resultado probado que la entidad denunciada a través de las pagina web www.logistus.es recoge datos de carácter personal sin la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 que exige el citado artículo. La entidad denunciada alega en su descargo que en la medida en que los destinatarios de sus servicios son profesionales o empresas en atención a que consta “Envío de Coches” y “Transportes de Coches”, estarían excluidos del ámbito de aplicación de la normativa de protección de datos, de acuerdo con el art. 2.2 y 2.3 del RDLOPD. Frente a ello, debe señalarse que no puede presuponerse tal condición en base al público destinatario de sus servicios, pues cualquier persona puede usar los formularios puestos al efecto. Sin olvidar que la exclusión que la norma realiza de los profesionales y personas de contacto de entidades jurídicas únicamente opera en dicha condición, es decir, puede que los datos de un profesional o los de contacto sean tratados para finalidades al margen de su condición, por lo que la interpretación que ha de realizarse respecto del alcance de la protección de un derecho fundamental debe ser extensiva, sin que quepa la exclusión alegada puesto que no es posible conocer, a priori, el tratamiento al que puede ser sometidos los datos que se proporcionen en la web. Por otro lado no puede olvidarse que en el enlace dispuesto en la parte superior derecha de la página web denominado “contacto” se despliega un formulario que no tiene destinatario concreto. De modo que los usuarios de la página web que introduzcan sus datos personales desconocen el tratamiento al que van a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. El deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. En conclusión la entidad denunciada vulnera lo dispuesto en el art. 5 de la LOPD, suponiendo la infracción leve prevista en el art. 44.2
- c)que considera como tal ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. (…) VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que en el inicio de las actuaciones de inspección se verifico respecto de www.trasportesdecoches.es la descarga e instalación de DARD no exentas del deber de informar, sin aviso alguno sobre dichos dispositivos, debiendo señalarse que tras las pruebas realizadas en fechas de 26/08/2015 y 19/10/2015 se verifico que no es posible acceder a dicha página web. Respecto de www.cclogistic.es en las pruebas de acceso realizadas en fechas de 26/08/2015 y 19/10/2015 se verifico que se descargaban cookies de terceros de carácter publicitario y persistente (PREF bajo el dominio youtube.com) y que la información ofrecida en la primera capa no satisfacía el mandato legal, en la medida en que de la literalidad que consta (…) Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continua navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de instalación de las cookies descritas. Dichas cookie se descarga debido a que están vinculadas a algunos productos y servicios de Google utilizados por el sitio web analizado. Es la propia Google la que en una de sus páginas informa de que utiliza esas cookies "...para poder personalizar los anuncios que se muestran en sus servicios como, por ejemplo, la Búsqueda de Google.". Dada su finalidad publicitaria las citadas cookies no se encuentran exceptuadas del deber de obtener el consentimiento informado pero en la política de Asimismo el acceso a la Política de Cookies solo es posible a través de la primera capa arriba citada, ya que se oculta una vez cerrada aquella, lo que también impide el conocimiento a los usuarios de tales extremos. Por todo ello se estima vulnerado el art. 22.2 de la LSSI cuya infracción se encuentra tipificada como leve en el art. 38.4
- g)que considera como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” Respecto de www.transportedecoches.es se verifico que si bien al inicio de las actuaciones previas de investigación incumplía lo dispuesto en el art. 22.2 LSSI, durante la instrucción del expediente se comprobó que no es posible acceder a dicha página web. VII En conclusión, respecto de la vulneración del art. 22.2 de la LSSI, se insta a CAR CONTROL LOGISTIC, S.L.. para que modifique la información ofrecida en la primera banda informativa o banner de la web www.cclogistic.es en el sentido de que se deduzca claramente el tipo de DARD instalados y se permita acceder al enlace que aloja la Política de Cookies, desde cualquier subdominio de la citada página web, para que siempre este accesible dicha información. En relación con la vulneración del art. 5 de la LOPD, se insta a CAR CONTROL LOGISTIC, S.L.. para que adecue la información ofrecida a dicho precepto cuando recoja datos de carácter personal a través de los formularios y el cuadro de dialogo que se cita en el Hecho Probado DOS y en el Fundamento de Derecho III de la presente resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 IV En supuesto presente, del examen de las medidas adoptadas por CAR CONTROL LOGISTIC, S.L.. se constata que el sistema de información que proporciona la entidad denunciada en el sitio web objeto de análisis, reúne los requisitos anteriormente descritos y por tanto da cumplimiento a lo dispuesto en el art. 22.2 de la LSSI. Idénticas consideraciones merece el sistema de información dispuesto de acuerdo con el art. 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAR CONTROL LOGISTIC, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es