1/8 Procedimiento Nº: E/08994/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D. A.A.A., con NIF.: ***NIF.1, titular de la página web: ***URL.1 (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. B.B.B., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 28/05/21, tiene entrada en esta Agencia, escrito presentado por el reclamante, en la que indicaba, entre otras, lo siguiente: “No haber recibido contestación tras la solicitud hecha mediante correo electrónico de la retirada de datos personales. En el formulario (…) de la web no se encuentra la casilla para aceptar la política de privacidad y se incumple la política de cookies en la web”. Al escrito de denuncia, se acompaña, entre otras, la siguiente documentación: 1.- Correo electrónico enviado el día 02/09/19, desde la dirección ***EMAIL.1, a dirección: ***EMAIL.2 con el siguiente mensaje: "Nos gustaría trasladarle que hemos realizado un escrito a la Pastoral de Cáritas Diocesana tras hablar con ellos en persona. Para que tome resolución por si no podrían aceptar el pago de la donación de los beneficios del 4º Cross Popular Solidario Virgen del Carmen por las irregularidades cometidas. Tomando el Arcipreste de San Juan de Aznaifarache la debida resolución para comunicársela al Párroco de San Juan Bautista. Si persiste el impago, tendremos que informar al Patronato de Deportes del Ayuntamiento de Dos Hermanas ante las continuas anomalías. Adjunto la facturación por los trabajos realizados”. SEGUNDO: Con fecha 29/06/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 23/07/21, la parte reclamada remitió a esta Agencia escrito de contestación al requerimiento, en el cual, entre otras, indicaba: “SUBSANADO INCUMPLIMIENTO SITIO WEB (…) RELACIONADO ...” CUARTO: Con fecha 03/08/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, al aprecian indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 18/08/20, La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, realizando las siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 comprobaciones de la “Política de Privacidad” y en “Política de Cookies”, en la página web, ***URL.1: A).- Sobre el tratamiento de datos personales: A través de la pestaña de “contacto”, la web despliega un formulario donde es posible introducir datos personales, como el nombre, el correo electrónico y el asunto. En el mismo formulario existe información sobre la identidad del responsable del tratamiento de datos personales: (…).- ***DIRECCIÓN.1- ***TELÉFONO.1.***EMAIL.3 B).- Sobre la Política de Privacidad: Si se opta por acceder a la “Política de Privacidad” a través de los enlace existente en la parte superior del formulario o en la página principal, la web redirige a una nueva página, (…) , donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. C).- Sobre la Política de Cookies: 1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que no utiliza cookies denominadas, “no necesarias”. 2. Existe un banner sobre cookies que aparece en la página principal de la web, con el siguiente mensaje: “Utilizamos cookies para ofrecerte la mejor experiencia en nuestra web. Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes”. <<ajustes>>--<<Aceptar>> - Si se opta por aceptar las cookies, se comprueba como la web sigue sin usar 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<ajustes>>, la web despliega un panel de control de cookies, con el siguiente mensaje: Esta web utiliza cookies para que podamos ofrecerte la mejor experiencia de usuario posible. La información de las cookies se almacena en tu navegador y realiza funciones tales como reconocerte cuando vuelves a nuestra web o ayudar a nuestro equipo a comprender qué secciones de la web encuentras más interesantes y útiles. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 <<Activar todo>>-- <<Guardar ajustes>> 3.1.- Si se opta por “guardar ajustes”, se comprueba que la web sigue sin utilizar 3.2.- Si se opta por “activar todo” se comprueba que la web sigue sin utilizar cookies “no necesarias”. FUNDAMENTOS DE DERECHO I- Competencia: - Sobre el ejercicio de los derechos reconocidos en el RGPD y el tratamiento de datos personales: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la “Política de Cookies” de la web www.sportium.es De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II- Síntesis de los hechos denunciados Según manifiesta el reclamante, no haber recibido contestación tras la solicitud hecha mediante correo electrónico, de la retirada de datos personales. También indica que en el formulario de la página web (…) no existe la casilla para aceptar la política de privacidad y se incumplimiento de la política de cookies en la web. No obstante, para justificar que ha intentado ejercitar su derecho a la supresión de los datos personales de la base de datos de la web ***URL.1, adjunta un correo electrónico enviado a la dirección: ***EMAIL.2, que no es la indicada en la web para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 este tipo de servicios: ***EMAIL.3. Además, el mensaje enviado en dicho correo no tiene concordancia con una posible solicitud de supresión de datos personales: “Nos gustaría trasladarle que hemos realizado un escrito a la Pastoral de Cáritas Diocesana tras hablar con ellos en persona. Para que tome resolución por si no podrían aceptar el pago de la donación de los beneficios del 4º Cross Popular Solidario Virgen del Carmen por las irregularidades cometidas. Tomando el Arcipreste de San Juan de Aznaifarache la debida resolución para comunicársela al Párroco de San Juan Bautista. Si persiste el impago, tendremos que informar al Patronato de Deportes del Ayuntamiento de Dos Hermanas ante las continuas anomalías. Adjunto la facturación por los trabajos realizados”. III.- Sobre el ejercicio de los derechos reconocidos en el RGPD, El artículo 12 del RGPD, establecer lo siguiente: 1.- El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2.El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3.El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. Por su parte, el artículo 17.1 del mismo RGPD, respecto del “Derecho de supresión («el derecho al olvido»)”, establece que: 1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. En el presente caso, el reclamante indica en su escrito que, habiendo solicitado la supresión de sus datos personales al reclamado, éste no ha respondido a su solitud. No obstante, se comprueba que la dirección de correo electrónico a la que ha enviado la solicitud, ***EMAIL.2 no concuerda con la indicada en la página web reclamada para este tipo de servicios: ***EMAIL.3. Además, el mensaje enviado en correo electrónico no guarda ningún tipo de relación con una presunta solicitud de supresión de datos personales. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, no es posible considerar correctamente realizada la reclamación efectuada en relación con el ejercicio de los derechos sobre los datos personales. IV.- Sobre el tratamiento de los datos personales y la política de privacidad de la página web ***URL.1 Esta Agencia ha podido comprobar que en la página web en cuestión, consultada el 18/08/21, se pueden obtener datos personales de los usuarios y que en su política de privacidad, además de hacer referencia a la legislación vigente, RGPD y LOPDGDD, se informa de quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos y plazo de conservación; la categorías de datos que se tratan; con quién comparten los datos personales; la legitimación del tratamiento de los datos; sobre los derechos que asisten a los usuarios en materia de protección de datos y dónde y cómo obtenerlos. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. IV.- Sobre la “Política de Cookies” de la página web, ***URL.1 a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
- in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En el presente caso, en la comprobación realizada en la página web reclamada ***URL.1 se pudo constatar que no utiliza cookies que no sean técnicas o necesarias. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, establece que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A., con NIF.: ***NIF.1, titular de la página web: ***URL.1 y a D. B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es