E-08989-2021

1/9  Procedimiento Nº: E/08989/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L., con CIF.: B73447393, titular de las páginas webs: www.flexomed.com y www.psicopackaging.com (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 13/05/21, tiene entrada en esta Agencia, tres escritos presentados por el reclamante, en los que indica, entre otras, lo siguiente: 1º escrito: ” La web https://flexomed.com/ En la página https://flexomed.com/seguimosactivos-y-dando-servicio/ hay un formulario que se piden los datos del usuario que no cumple la normativa y no hay información sobre lo que se va a hacer con los datos del formulario. Ver imagen Captura3.png En la página https://flexomed.com/envasado-alimentos hay un formulario que se piden los datos del usuario que no cumple la normativa y no hay información sobre lo que se va a hacer con los datos del formulario. Ver imagen Captura4.png En todos los demás formularios de contacto donde pone Destinatarios» No se cederán datos a terceros salvo obligación legal o prestación del servicio creo que no cumple la normativa pues está afirmando que cederán datos a terceros. Ver imagen Captura5.png”. 2º escrito: “La web https://flexomed.com/test/ La gestión de cookies bloquea la pantalla, lo cual incumple la normativa. Si se aceptan las cookies necesarias se instalan muchas cookies que no son necesarios En todos los formularios que hay en otras páginas de esta web incluye un texto que dice: Su dirección de correo electrónico sólo se utiliza para enviarle nuestro boletín e información sobre las actividades, ofertas y comunicaciones de FLEXOMED. Incumple la normativa pues es una aceptación genérica y en el mismo formulario se acepta para distintos fines. https://flexomed.com/test/videos/ https://flexomed.com/test/digital-packaging/promociones-y-marketing/ https://flexomed.com/test/pantallas-proteccion-facial-certificacion-europea/ Es esta página existe un formulario distinto: https://flexomed.com/test/contacto/ incluye un texto que dice: Su dirección de correo electrónico sólo se utiliza para enviarle nuestro catálogo e informarle sobre nuestros servicios de packaging personalizado para empresas. Incumple la normativa pues es una aceptación genérica y en el mismo formulario se acepta para distintos fines. En estas páginas: https://flexomed.com/test/flexografia/ https://flexomed.com/test/nuestra-empresa/ Existe un formulario en el que no se da explicación para que se van a usar los datos del usuario. Ver imagen captura6.png” 3º escrito: “La página http://nueva.flexomed.com/ No dispone de gestión de cookies adaptado a la normativa. Al visitar la página se instalan cookies sin haber aceptado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 nada. No dispone de la adaptación al RGPD. Dispones de un chat (abajo a la derecha) que pide el email del usuario de la web que tampoco se adapta a la normativa. En los formularios de contacto no hay información sobre lo que se va a hacer con los datos del formulario. Ver estas direcciones: http://nueva.flexomed.com/contacto/ Ver imágenes Captura1.png y Captura2.pn SEGUNDO: Con fecha 23/06/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 29/07/21, la parte reclamada remitió a esta Agencia escrito de contestación al requerimiento, en el cual, entre otras, indicaba lo siguiente: “Desde septiembre de 2020, Flexomed ha recibido varias reclamaciones de la Aepd relacionadas con las páginas webs de su titularidad y las cookies instaladas en las mismas, así como relacionadas con el sistema de videovigilancia de sus instalaciones. Estas reclamaciones, o al menos, la mayoría de ellas, fueron iniciadas a instancia de un ex trabajador de la Empresa, cuando éste, encargado de la creación y mantenimiento de las páginas webs de la Empresa, dejó de prestar servicios a la misma. Prueba de ello, es la afirmación realizada por la Aepd en la Propuesta de Resolución del procedimiento sancionador PS/0038/2020, concretamente, en el Antecedente Primero: “Con fecha 21/07/20 y 27/07/20, tienen entrada en esta Agencia, escritos de reclamación presentados por el reclamante, (en adelante, “el reclamante”) […]”. Como se ha indicado en anteriores respuestas a reclamaciones recibidas por Flexomed de la Aepd, se han iniciado los procedimientos judiciales oportunos contra el ex trabajador, entre otros motivos, para recuperar los dominios webs registrados por el reclamante durante la prestación de sus servicios a la Empresa y para verse indemnizado por las consecuencias que están afectando a la misma por las acciones que viene llevando a cabo el ex trabajador desde que finalizó la relación laboral con él. Por ello, y teniendo en cuenta lo que se expondrá a lo largo del presente documento, es posible, que la actual reclamación haya venido causada por reclamación realizada por la misma persona y ello debido a que, Flexomed no ha recibido, en ningún momento, reclamación por parte de ningún usuario relacionada con este u otro asunto relativo al tratamiento de datos ya que, de ser así, se hubiese contactado de inmediato con aquella persona que consideraba que la Empresa o su web no cumplía con la normativa de protección de datos, para solucionar sus dudas, atender a su requerimiento e informarle de lo que necesitara. En relación con reclamación tratada en el presente documento, entre los hechos que motivaron la reclamación se encuentran los siguientes: - Falta de consentimiento explícito para la instalación de cookies en el sitio web https:// flexomed.com/test/ - Falta de información sobre el tratamiento de datos personales en los siguientes sitios webs: o https://flexomed.com/test/flexografia/ o https://flexomed.com/test/nuestraempresa/ o https://flexomed.com/seguimos-activos-y-dando-servicio/ o https://flexomed.com/envasado-alimentos/ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - Falta de consentimiento específico para dos finalidades diferentes en el sitio web https://flexomed.com/test/flexografia/ Pues bien, como puede observarse de algunos de los sitios web, se trata de “Test” que, según deduce la Empresa, debieron crearse con motivo de realizar pruebas sobre la misma y antes de su publicación pero que nunca han llegado a utilizarse, por lo que, en las sucesivas revisiones del sitio web que se han ido realizando y comentadas anteriormente, es posible que no se tuvieran en cuenta dichas direcciones por no tener conocimiento de que permanecían activadas. En relación con las direcciones https://flexomed.com/seguimos-activos-y-dando-servicio/ y https://flexomed.com/envasado-alimentos/ , a pesar de no incluir en la dirección la palabra “Test”, debieron crearse igualmente junto a la web inicial, no habiendo sido usadas en ningún momento por la Empresa ni por ningún usuario por haberse comprobado que estas direcciones, al igual que el resto, no se encontraban enlazadas a la web actual. Por lo anterior, y debido a que, ninguna de las direcciones anteriores era pública ni estaba enlazada a la web de Flexomed, no había forma de acceder a ellas si no era de forma directa, es decir, escribiendo la url completa en el buscador, lo que supone que, solo podría accederse a las mismas por las personas que conocieran su existencia por trabajar en Flexomed o haber participado en su creación. No es posible que ningún usuario ajeno a la Empresa pudiera acceder a dichas direcciones por el simple hecho de estar navegando en la web de Flexomed y, por tanto, verse perjudicado por la falta de cumplimiento de algunos de los requisitos recogidos por la normativa de protección de datos, incumplimiento debido al desconocimiento de la Empresa de que dichas direcciones existían y se mantenían activas. Dicha reclamación nos lleva a pensar que ha sido realizada nuevamente por el ex trabajador, el reclamante, quien prestaba servicios de creación y mantenimiento de los sitios webs de Flexomed, con el único interés de causar perjuicio económico y reputacional a la Empresa una vez dejó de prestar servicios a la misma, sin que nada tenga que ver con la vulneración de sus derechos. Como se ha indicado en el apartado anterior, desde septiembre de 2020, Flexomed ha recibido varias reclamaciones de la Aepd, las cuales, ha atendido correctamente, analizando los puntos indicados en ellas y revisando en profundidad y actualizando la documentación de la que disponía en relación con el cumplimiento de la normativa, siempre teniendo en cuenta las indicaciones de la Aepd y la documentación publicada por este organismo con relación al tratamiento de datos personales. La última revisión de todas las páginas webs titularidad de la Empresa se realizó en los meses de febrero y marzo de 2021, con motivo de la última de las reclamaciones recibidas por la Empresa.

1. Informe, si procede, sobre las medidas adoptadas para adecuar la utilización de cookies a lo dispuesto en el artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI), en particular en lo relativo a la información facilitada a los usuarios sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 utilización de cookies y los fines del tratamiento de los datos, así como la forma de recabar, rechazar o retirar el consentimiento para su uso. Se pide además indicación de las fechas de implantación y controles efectuados para comprobar su eficacia. Al no tener conocimiento de las direcciones webs, estas no fueron tenidas en cuenta en las revisiones y actualizaciones realizadas por la Empresa respecto de su página web, la cual, cuenta con el aviso y la política de cookies correspondiente, incluyendo el aviso la posibilidad de aceptar, rechazar o configurar las cookies y sin que las cookies no necesarias, sean instaladas sin contar con el consentimiento previo. Los últimos controles realizados respecto de las cookies instaladas en la web de Flexomed, tuvieron lugar con motivo de las correspondientes reclamaciones de la Aepd recibidas por la Empresa desde el pasado mes de septiembre de
2. Tan pronto como fue recibida la reclamación por parte de Flexomed, la Empresa solicitó al personal que revisaran todas las comunicaciones recibidas a los correos corporativos y en la dirección de contacto dispuesta en web, se confirmó, que no se había recibido en ningún momento, ni anterior ni posterior a la reclamación, comunicación alguna de usuarios en relación a quejas por la falta de la información del tratamiento de datos recabados a través de la web ni relacionada con el ejercicio de derechos de los mismos. El informático de la Empresa, se encargó de localizar los sitios web para revisar si efectivamente se estaba incumpliendo la normativa y, en su caso, cuales eran los motivos del incumplimiento de cara a adoptar las oportunas medidas al respecto. Una vez realizada dicha búsqueda por parte del informático, se confirmó por parte del equipo de Flexomed que los sitios webs que incluían en su dirección la palabra “Test”, se habrían creado al inicio de la creación de la web y a los únicos efectos de testeo, por lo que, al no haber sido utilizados posteriormente, se procedió a eliminarlos rápidamente. Con relación al resto de direcciones, (https://flexomed.com/seguimos-activos-y-dandoservicio/ y https://flexomed.com/envasado-alimentos/), no se consiguió averiguar la forma de acceder a ellas a través de la web de Flexomed, por lo que, teniendo en cuenta que no estaban enlazadas y no había ni iban a ser utilizadas, ni por usuarios ni por la Empresa, se procedió igualmente a eliminarlas. En resumen, de todo lo expuesto anteriormente, la Empresa se reafirma lo siguiente: a. Que no ha recibido ni de este usuario ni de cualquier otro, requerimiento o solicitud sobre información del tratamiento de datos de la Web ni queja por la inexistencia de esta información en su página web, ya que, la misma cumple con la normativa al respecto. Asimismo, al recibir la reclamación, la Empresa procedió rápidamente a revisar en profundidad las comunicaciones recibidas por el personal a fin de asegurar que, efectivamente, no había recibido comunicación de tal tipo. b. Que la Empresa está sensibilizada y concienciada con la importancia de la protección de los datos personales que trata y por ello durante los últimos meses ha ido haciendo frente a las reclamaciones recibidas, contestando correctamente y realizando los controles y modificaciones necesarias teniendo en cuenta la información proporcionada por la Aepd y la documentación publicada por ésta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 c. Que nunca ha tenido ninguna incidencia en relación al tratamiento de los datos personales de usuarios, clientes, proveedores, trabajadores u otras categorías de datos, salvo los últimos problemas que está teniendo relacionados con el ex trabajador, frente al cual, tal y como se indicó a la Aepd en una de las respuestas a las reclamaciones recibidas, se ha iniciado los procedimientos judiciales oportunos por los perjuicios que las actuaciones de este señor están ocasionando a Flexomed. d. Que teniendo en cuenta la imposibilidad de acceder a dichas webs por redirección a las mismas desde la web actual de Flexomed, ningún usuario ha podido verse perjudicado por la falta de cumplimiento de los requisitos expuestos en la reclamación por lo que, se reafirma en el hecho de que la reclamación recibida ha tenido lugar únicamente para causar un perjuicio a la Empresa por motivos ajenos a la vulneración de derechos de usuarios. e. Que Flexomed, ha procedido a eliminar dichas direcciones web de inmediato, puesto que desconocían de su existencia y no estaban siendo usadas por la Empresa ni eran accesibles al público, de forma que, de esta manera, no pueda causar ningún perjuicio a ningún usuario”. CUARTO: Con fecha 13/08/21, por parte de esta Agencia se comprueban los siguientes hechos sobre la reclamación presentada: a).- se procede a la inspección de varias páginas del sitio web https://flexomed.com con el objetivo de determinar el cumplimiento del citado sitio en lo que a instalación de dispositivos de almacenamiento y recuperación de datos se refiere. Todas las pruebas se han realizado con el navegador Firefox borrando previamente las cookies y la caché del navegador y sin haber utilizado el motor de búsqueda de Google ni otorgar el consentimiento para ello. Los enlaces que han sido objeto de la reclamación son los siguientes: - https://flexomed.com/test/ , por instalación de cookies no estrictamente necesarias a pesar de no haber dado el consentimiento explícito para ello. Se comprueba que la página aparece como no encontrada. No obstante, se muestra el banner de cookies y se instala la cookie _gcl_au. Esta cookie es de Google y es utilizada con fines publicitarios y de segmentación. En los siguientes formularios de recogida de datos, se reclama que no se estaría informando sobre el tratamiento de datos personales acorde a la normativa vigente: - https://flexomed.com/test/flexografia/. Esta URL redirige a https://flexomed.com/flexografia y se comprueba que se informa sobre el tratamiento de datos según recoge la captura realizada, acorde con la legislación vigente, a través del enlace existente a la “Política de Privacidad”. - https://flexomed.com/test/nuestra-empresa/ Esta URL redirige a https://flexomed.com/nuestra-empresa/ , donde se estaría informando sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 tratamiento según se observa en la captura realizada, acorde con la legislación vigente, a través del enlace existente a la “Política de Privacidad”. - https://flexomed.com/seguimos-activos-y-dando-servicio/ A pesar de que la página aparece como no encontrada sí presenta formulario de recogida de datos en el que se informa sobre el tratamiento de estos, acorde con la legislación vigente, a través del enlace existente a la “Política de Privacidad”. https://flexomed.com/envasado-alimentos/ En este caso se observa que en el formulario no existe información sobre tratamiento de datos. Según el reclamado, esta página, al igual que las que incluyen la palabra test debieron crearse para la realización de pruebas, pero nunca llegaron a utilizarse. Aseguran que estas direcciones no eran públicas ni estaban enlazadas a la web principal, por lo que no había forma de acceder a ellas si no era de forma directa por personas que conocieran de su existencia. - https://flexomed.com/test/contacto/, consentimiento genérico para dos finalidades diferentes. Esta URL redirige a https://flexomed.com/contacto/ y se comprueba que hay dos finalidades, pero se recoge el consentimiento por separado para cada una de ellas y se informa del tratamiento de datos personales acorde con la legislación vigente, a través del enlace existente a la “Política de Privacidad”. QUINTO: Con fecha 16/08/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, al aprecian indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. SEXTO: Respecto a estos mismos hechos, el mismo reclamante presentó, con fecha 21/07/20, escrito de reclamación ante esta Agencia, indicando en su día que: “Las páginas webs www.flexomed.com y www.psicopackaging.com no disponían de política de privacidad, texto legal ni gestión de cookies y en los formularios de contacto que existían en las mismas no había información sobre lo que se pretendía hacer con los datos obtenidos”. A la vista de los hechos indicados en la reclamación y de las evidencias observadas en las páginas web por parte de esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 25/11/20, acordó iniciar procedimiento sancionador, PS/388/2020, cuya resolución fue comunicada a la entidad reclamada el 15/04/21, con el siguiente resultado: - Con respecto a la página web www.flexomed.com, y sus respectivos link, se dirigió un “apercibimiento” a la entidad por Infracción del artículo 7) del RGPD, al realizar la recogida del consentimiento de los usuarios de una forma genérica, durante el tiempo que estuvo activa en la página web hasta su modificación y adaptación a la normativa vigente y una sanción de 3.000 euros, por Infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies” de la página web y sus respectivos links. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 - Con respecto a la página web www.psicopackaging.com, y sus respectivos link, dirigiendo una “apercibimiento” por la infracción del artículo 13) del RGPD, respecto de la inexistencia de política de privacidad en su página web, comprobando que existía un tratamiento de los datos personales de los usuarios, tomando en consideración, para la imposición final de la sanción, las alegaciones y la documentación presentada por la entidad denunciando que la página web había sido creada por un extrabajador sin el consentimiento de la empresa y archivando el procedimiento respecto de la “Política de Cookies” de la página web al comprobar, que la misma ya no existía en el momento de la resolución. FUNDAMENTOS DE DERECHO I- Competencia: - Sobre el tratamiento de datos personales y la Política de Privacidad: Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), - Sobre la “Política de Cookies” de la web www.sportium.es De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para resolver este Procedimiento, la Directora de la Agencia Española de Protección de Datos. II- Síntesis de los hechos denunciados El reclamante manifiesta, con fecha 13/05/21, que: a) en el sitio web https://flexomed.com/test/ se instalan cookies no estrictamente necesarias a pesar de no haber dado el consentimiento explícito para ello. b) en los siguientes formularios de recogida de datos no se estaría informando sobre el tratamiento de datos personales acorde a la normativa vigente: https://flexomed.com/test/flexografia/ https://flexomed.com/test/nuestra-empresa/ https://flexomed.com/seguimos-activos-y-dando-servicio/ https://flexomed.com/ envasado-alimentos/ c) En el formulario https://flexomed.com/test/contacto/ se estaría dando el consentimiento genérico para dos finalidades diferentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 No obstante, 10 meses antes, el 21/07/20, el reclamante ya presentó escrito de reclamación ante esta Agencia indicando en aquel entonces, que: “Las páginas webs www.flexomed.com y www.psicopackaging.com no disponían de política de privacidad, texto legal ni gestión de cookies y en los formularios de contacto que existían en las mismas no había información sobre lo que se pretendía hacer con los datos obtenidos”. Por los hechos indicados en la primera reclamación de fecha 21/07/20 y comprobados por esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 25/11/20, acordó iniciar procedimiento sancionador PS/388/2020, cuya resolución fue comunicada a la entidad reclamada el 15/04/21 imponiendo a la entidad reclamada las sanciones que se ha detallado ya en el punto “sexto”. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento y atendiendo al principio “non bis in idem”, consiste en la prohibición de que un mismo hecho resulte sancionado más de una vez, o lo que es lo mismo, prohibición de que no se imponga duplicidad de sanciones en los casos en que se desprenda identidad de sujeto, hecho y fundamento, como es el caso. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L., con CIF.: B73447393, titular de las páginas webs: www.flexomed.com y www.psicopackaging.com y a D. A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí. Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/
3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es