E-07814-2020

1/7  Procedimiento Nº: E/007814/2020 935-240719 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 27/05/20, tienen entrada en esta Agencia, escrito presentado por D. A.A.A., (en adelante, “el reclamante”), en el cual, entre otras, indicaba: “He tenido contacto comercial con la empresa a la que le reclamo, recibiendo correos electrónicos de un asunto que se interpondrán las acciones legales correspondientes, pero al mandármelas a mi, las ha mandado en copia visible a otra organización, dañando mi imagen y poniendo en cuestión mi independencia laboral. Dicho correo electrónico carece de información legal en protección de datos sobre el derecho de la información y principios de transparencia, vulnerando la sensibilidad del contenido de dicho correo, obteniendo consecuencias de la otra organización que le llega la misma información. He entrado en su web y su política de privacidad está basada en la Ley Orgánica 15/1999, no teniendo en cuenta la obligatoriedad de implantación del Reglamento General de Protección de Datos 679/2016 y supongo que tampoco el rf 3/2018 de LOPDGDD; adjunto enlace de su política de privacidad: https://www.viverosdenoy.com/politica-de-privacidad/ La información de cookies está en inglés y no aporta la obligatoriedad de limitación de uso de dichas cookies, cuya política de cookies es bastante cuestionable. En mi el caso que me compete, me ha puesto en entredicho con una tercera empresa por conflicto de intereses que puede llegar a sancionarme. Su falta de identificación de información es nula por no decir del deficiente conocimiento en protección de datos del personal que manipula datos, por lo que solicito una revisión de cumplimiento legal en la adaptación de su organización en protección de datos personales y digitales. Mis derechos han sido altamente vulnerados y quiero ponerlo en conocimiento de la Agencia para que tome medidas oportunas” Se aporta al escrito de reclamación, copia de la “política de privacidad” y de la “política de cookies” de la página web denunciada de fecha 29/05/20 y 01/06/20. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 19/06/20, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 17/07/20, la entidad reclamada presenta ante esta Agencia escrito de contestación al requerimiento donde, entre otras, indica: “La causa que origina la presente reclamación se debe a la ausencia de cierta información legal en la página web propiedad de esta entidad. Hasta el momento de recaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 bar el asesoramiento de la Consultora en protección de datos contratada, esta entidad no tenía constancia de que la misma estaba incompleta u obsoleta. Se contrata el servicio de adaptación de la página web a la normativa vigente en materia de protección de datos y servicios de la sociedad de la información con una Consultora especializada en dichas materias. Recibidos los textos pertinentes, en cuanto a lo solicitado por esta Agencia, se procede a introducirlos en la página web en sus lugares correspondientes: https://www.viverosdenoy.com/politica-de-privacidad/ y https://www.viverosdenov.com/políticas-de-cookies. Además, se ha procedido a configurar la página web para que aparezca una ventana emergente ("banner") al entrar en la misma, informando de las cookies y con enlace a su configuración. Finalmente, se ha introducido un enlace a la "Política de Privacidad" en los formularios de recogida de datos: https://www.viverosdenoy.com/contacto Se procede a la corrección de los textos legales de la página web y se procede a contratar servicio con la Consultora contratada solicitando la revisión de los tratamientos de datos, así como el asesoramiento en el presente asunto para realizar todas las actuaciones correctoras que se estimen oportunas y las que esta Agencia determine, en su caso” CUARTO: Con fecha 28/09/20, por parte de esta Agencia, se consulta la página web denunciada, www.viverosdenoy.com , comprobándose los siguientes aspectos: A).- Respecto de la Política de Privacidad: a.1).- En la pestaña de <<contacto>>, https://www.viverosdenoy.com/contacto/ , se pueden recogen datos personales, como el nombre, y el email. En esta página además se proporciona información sobre la titularidad de la página, dirección, teléfonos y e-mail de la entidad. En el formulario indicado, existe una casilla que se debe marcar obligatoriamente antes de enviar el mismo con la leyenda: “_ He leído y acepto la política de privacidad”. a.2).- En la misma página de <<contacto>> existe un link, “Política de privacidad” que redirige a la página, https://www.viverosdenoy.com/politica-de-privacidad/ , donde se informa de: - Identidad del responsable del tratamiento de los datos. Finalidades y legitimación del tratamiento de los datos. Plazos de conservación de los datos personales. Comunicación de los datos personales a terceros y transferencia internacional. Ejercicio de derechos y el derecho a dirigirse a la Autoridad de Control. a.3).- En la misma página principal existe un link “Aviso Legal” que redirige a la página https://www.viverosdenoy.com/aviso-legal/ , la cual proporciona información sobre: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - El responsable del tratamiento. Las finalidades de los tratamientos. La conservación de los datos. La cesiones y transferencias internacionales. Las decisiones automatizadas y elaboración de perfiles. El ejercicio de derechos. Las condiciones de uso. El certificado SSL de la página web. B).- Respecto de la Política de Cookies: b.1.- Al acceder a la página principal de la web, www.viverosdenoy.com , (primera capa), se comprueba que, en la parte inferior de la misma, existe un banner con la siguiente información: “Este sitio web utiliza cookies, tanto propias como de terceros para recopilar información estadística sobre su navegación y mostrarle publicidad relacionada con sus preferencias, generada a partir de sus pautas de navegación. Si continúa navegando, consideramos que acepta su uso. <<Aceptar>> <<Rechazar>> <<MÁS INFORMACIÓN>> b.2.- Si se accede a la página de la “Mas Información”, a través del link correspondiente, se redirige a la página, https://www.viverosdenoy.com/en/cookies-policies/ donde se informa, entre otras, de los siguientes aspectos: - Qué son las Cookie. Qué tipos de cookies existen. Qué cookies usa el sitio web: nombre; si son propias o de terceros y el tiempo de instalación (si son de sesión o persistentes). Sobre las cookies de terceros proporciona la siguiente información: “VIVEROS DENOY SL, al utilizar Google Analytics, realiza transferencias internacionales de datos a Google Inc., compañía que está adherida a “Privacy Shields” (escudo de privacidad) que garantiza que todos los datos transferidos serán tratados con un nivel de protección acorde a la normativa europea. Puede consultar información detallada a este respecto a través del siguiente enlace: https://support.google.com/analytics/answer/6004245 . VIVEROS DENOY SL, a través de la información recopilada con las cookies, NO elabora perfiles que impliquen la toma de decisiones automatizadas con efectos jurídicos para el usuario. Asimismo, VIVEROS DENOY SL informa al usuario de que tiene la posibilidad de configurar su navegador de modo que se le informe de la recepción de cookies, pudiendo, si así lo desea, impedir que sean instaladas en su disco duro. A continuación, le proporcionamos los enlaces de diversos navegadores (…)” CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 de datos, con fecha 27/08/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. FUNDAMENTOS DE DERECHO I Competencia: A).- Sobre la Política de Privacidad: En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. B).- Sobre la Política de Cookies: De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II A).- Sobre la política de privacidad de la página web denunciada: Se ha comprobado que, a través del link: “Política de Privacidad”, la web redirige a una página donde se proporciona información sobre aspectos de la política de privacidad como son: los datos identificativos del titular de la página web; la legislación aplicable; la identificación del responsable del tratamiento; la legitimación del tratamiento de datos; el tiempo de conservación de los datos; la cesión de datos a terceros; los derechos del interesad o donde ejercer dichos derechos. Se ha comprobado además que, a través del link: Aviso Legal”, la web redirige a una página donde se proporciona información sobre: El responsable del tratamiento; las finalidades de los tratamientos; la conservación de los datos; las cesiones y transferencias internacionales; las decisiones automatizadas y elaboración de perfiles; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 el ejercicio de derechos de los usuarios y la posibilidad de dirigirse a la Autoridad de Control; las condiciones de uso y el certificado SSL de la página web. El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Información que debería aparecer en la “política de privacidad” de la página web en cuestión: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el art 49.1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. En el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que la “Política de Privacidad” de la página web reclamada no se contradice con lo estipulado en el artículo 13 del RGPD. III B).- De las actuaciones practicadas, con relación a la “Política de Cookies”, de la página web reclamada, y aplicando las recomendaciones indicadas en la Guía sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 2019, se constatan los siguientes aspectos: b.1.) Al acceder a la página inicial de la web, www.viverosdenoy.com , (primera capa), se comprueba que, en la parte inferior de la misma, existe un banner con la siguiente información: “Este sitio web utiliza cookies, tanto propias como de terceros para recopilar información estadística sobre su navegación y mostrarle publicidad relacionada con sus preferencias, generada a partir de sus pautas de navegación. Si continúa navegando, consideramos que acepta su uso. <<Aceptar>> <<Rechazar>> <<MÁS INFORMACIÓN>>”, pudiendo en esta primera capa, rechazar todas las b.2.- Si se accede a la página de la “Mas Información”, a través del link correspondiente, se redirige a la página, https://www.viverosdenoy.com/en/cookiespolicies/ , donde se informa, entre otras, de los siguientes aspectos: qué son las propias o de terceros y el tiempo de instalación (si son de sesión o persistentes) además de dar información y proporcionar los link a los diferentes navegadores. En este contexto, el artículo 22.2 de la LSSI, indica: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. En el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que la “Política de 22.2 de la LSSI. IV Sobre la denuncia de, “He tenido contacto comercial con la empresa a la que le reclamo, recibiendo correos electrónicos de un asunto que se interpondrán las acciones legales correspondientes, pero al mandármelas a mí, las ha mandado en copia visible a otra organización, dañando mi imagen (…)”, indicar que, en el escrito de denuncia solo se anexaba copia de la “política de privacidad” y de la “política de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 la reclamación, ni indica a los terceros destinatarios ajenos, por lo que, por parte de esta Agencia no es posible corroborar este punto. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos. SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad VIVEROS DENOY, S.L., con CIF.: B15349392, titular de la página web, www.viverosdenoy.com y a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es