E-12940-2021

1/6  Expediente Nº: E/12940/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad, SOFTWARE PARTNERS, S.L. con CIF.: B01598358, por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha Con fecha 11/03/21, la Directora de la Agencia Española de Protección de Datos acordó la apertura de actuaciones previas de investigación frente a la entidad, SOFTWARE PARTNERS, S.L. con CIF.: B01598358, atendiendo a los poderes de investigación que la autoridad de control puede disponer al efecto, establecidos en el apartado 1), del artículo 58 el RGPD, y en relación con el posible tratamiento de datos los personales de menores de catorce años, obtenidos durante la navegación por la web y el perfilado de los mismos. SEGUNDO: Con fecha 26/04/21, por parte de esta Agencia, en relación con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se envió a la entidad, SOFTWARE PARTNERS, S.L., escrito de solicitud de información sobre los siguientes puntos: - La gestión de los riesgos asociado a las actividades de tratamiento en que se pudiera producir un acceso ilegítimo de un menor a los contenidos que ofrecen; - La evaluación de impacto relativa a la protección de datos respecto del análisis de riesgos; - Medidas técnicas y organizativas implantadas en su entidad que suponga limitación de acceso de menores de edad a los contenidos ofrecidos; - Limitaciones para que los menores accedan dichos contenidos; - Política de privacidad y ubicación pública de la misma; - Medidas técnicas y organizativas a tomar en su entidad ante eventual comprobación de un acceso indebido de un menor a sus contenidos; Medidas técnicas y organizativas que reflejen la protección de datos personales y los procesos de verificación y evaluación de la eficacia de las medidas y sobre si realizan perfilado de los datos personales de quienes acceden a sus contenidos. TERCERO: Con fecha 18/05/21, la entidad, SOFTWARE PARTNERS, S.L., remite a esta Agencia, escrito de contestación, en el cual, entre otras, indica lo siguiente:

1. SOFTWARE PARTNERS: No es propietaria de los contenidos de los sitios web, donde puede aparecer como empresa de gestión de cobros ante procedimientos de compra. No ofrece ni distribuye ni comercializa contenidos pornográficos. No ofrece ni distribuye ni comercializa contenidos de ningún otro tipo Establecer, que SOFTWARE PARTNERS si puede aparecer en sitios webs de contenidos para adultos, pero de acuerdo con la revisión que hemos realizados en los mismos, ya que SOFTWARE PARTNERS no es competente en dichos sitios ni tiene capacidad de implementar y modificar links asociados a los textos legales, hemos podido verificar que tanto en el aviso legal, política de privacidad, condiciones de registro y políticas de cookies en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 mismos sitios se referencia los datos identificativos del propietario y responsable que en ningún caso, como podrán apreciar, es SOFTWARE PARTNERS S.L.
2. AMBITO DE ACTIVIDAD DE SOFTWARE PARNERTS S.L (en adelante SP) es una sociedad cuyo objeto social está asociado a servicios relacionados con las tecnologías de la información y la informática, la explotación electrónica por cuenta de terceros, y su actividad actual se sitúa en el ámbito de la consultoría informática en lo relativo a la operativa para mejorar la seguridad del procesamiento de cobros en línea, a través de la comercialización de un producto denominado “SecureBilling.PRO” (ver anexo I) que es arrendado por terceros (sociedades) que realizan actividades de venta de productos y/o servicios en su página web para establecer mejorar sus procesos de cobro y atención sobre los mismos al cliente final (consumidor). SP en ningún caso tiene la consideración de responsable del sitio web, de los contenidos que se establecen en el sitio web, de los artículos o servicios que se ofertan en el sitio web, de los procedimientos de registro de los usuarios. SP es un proveedor de servicios que da soporte de consultoría informática para la gestión de los cobros, a través de una plataforma denominada “Secure Billing Pro” (ver Anexo I), establece acuerdos comerciales y de arrendamiento de la plataforma de gestión de cobros denominada “Secure Billing Pro” con sus clientes y a ese ámbito se circunscribe la actividad de la empresa. SP no cuenta con un registro de actividad asociada al acceso de menores en portales de contenido para adultos derivado que SP, lo que da es soporte en la operativa y/o gestión del proceso de pagos al cliente que así lo contrato en su sitio web a través de un producto denominado “Secure Biling Pro” (ver Anexo I y Anexo II). Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. REQUERIMIENTO SEGUNDO De acuerdo con lo expuesto en el “EPIGRAFE 1º” y el “3.1 Requerimiento Primero” (registro de actividad) no se ha realizado ningún análisis de riesgos asociados a acceso ilegitimo de un menor a los contenidos para adultos. Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. REQUERIMIENTO TERCERO De acuerdo con lo expuesto en el “EPIGRAFE 1º” y el “3.1 Requerimiento Primero” no se ha realizado ninguna evaluación de impacto asociada al acceso ilegitimo de un menor a los contenidos para adultos. Por lo tanto, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. REQUERIMIENTO CUARTO De acuerdo con lo expuesto en el “EPIGRAFE 1º” y el “3.1 Requerimiento Primero” no se ha establecido medidas técnicas y organizativas limitativas del acceso a contenidos de adultos. Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 REQUERIMIENTO QUINTO De acuerdo con lo expuesto en el “EPIGRAFE 1º” y el “3.1 Requerimiento Primero” no podemos atender a este requerimiento asociado a las medidas de carácter técnico y organizativas referidas al acceso de menores. Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. EQUERIMIENTO SEXTO De acuerdo con lo expuesto en el “EPIGRAFE 1º” y el “3.1 Requerimiento Primero” no podemos dar alcance al presente requerimiento asociado a las medidas de carácter técnica y organizativas desde el diseño y por defecto en sus tratamientos que suponga una defensa ante el eventual acceso de un menor. Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. REQUERIMIENTO SEPTIMO De acuerdo con lo expuesto en el “Epígrafe 1” y el “3.1 Requerimiento Primero” no podemos dar alcance al presente requerimiento asociado a la eficacia de las medidas de carácter técnica y organizativas existentes e implantadas en los apartados CUARTO, QUINTO Y SEXTO. Así pues, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. REQUERIMIENTO OCTAVO De acuerdo con lo establecido en el “Epígrafe 1” y el “3.1 Requerimiento Primero” no podemos atender a este requerimiento asociado a si se realiza perfilado de los datos personales que acceden a sus contenidos con incidencia en eventuales acceso ilegitimo de un menor. Por lo tanto, SP no puede atender a dicho requerimiento ya que no es competente al respecto, y dicho aspecto no se circunscribe a su ámbito de actividad y responsabilidad. Finalmente establecer que SOFTWARE PARTNERS queda a su disposición, y con el mejor ánimo de colaborar en lo que LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS determine, así como poder recoger cualquier recomendación que con carácter general pueda suponer una mejora en el cumplimiento normativo en su actividad asociada a la operativa en el procedimiento de pagos y la herramienta dispuesta para tal efecto. SOFTWARE PARTNERS S.L cuenta con una herramienta informativa denominada “Secure Billig Pro” que es un procesador para controlar la operativa de pago con tarjeta que utiliza un protocolo de monitorización en tiempo real para luchar contra el fraude. Secure Billing Pro ofrece soluciones personalizadas para que sus clientes acepten pagos con tarjeta de crédito de forma rápida y segura a través de entidades bancarias o financieras determinadas para tal efecto. Desde la plataforma se dispone de una serie de herramientas y funcionalidades para luchar contra las transacciones fraudulentas mediante la monitorización en tiempo real consiguiendo unas transacciones 100% seguras. Mediante la automatización de los datos combinada con un control manual se minimiza el fraude. Gracias a la tecnología y la experiencia se puede supervisar y proteger los ingresos de sus clientes. CUARTO: Con fecha 15/11/21, por parte de esta Agencia se realizaron las siguientes comprobaciones dentro del marco de actuación sobre los sitios de contenido erótico y pornográfico de ámbito nacional, en relación con el tratamiento de los datos personales que se realizan, así como, la gestión de las cookies que se utilizaban: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el estudio preliminar de los sitios web, ***URL.1 y ***URL.2, se interpretó que la entidad SOFTWARE PARTNERS S.L., sería la responsable de estos, dado que aparecía a pie de página en las webs. Solicitada información a la investigada sobre la advertencia de contenido para adultos, los posibles tratamientos de datos de menores y las medidas técnicas y organizativas establecidas para asegurar la privacidad de los datos, con fecha de 18/05/21, la entidad SOFTWARE PARTNERS S.L., remitió escrito de contestación a esta Agencia, manifestando entre otras, que no era responsable de los sitios webs indicados y que únicamente proporcionan la plataforma de comercio electrónico para ellos. Según pudo comprobar después esta Agencia, la responsable de estos sitios webs es la entidad: ***EMPRESA.1 FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II El Artículo 47 de la Ley LOPDGDD, establece, sobre las funciones y potestades de la Agencia Española de Protección de Datos, lo siguiente: “Corresponde a la AEPD supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. Asimismo, corresponde a la Agencia Española de Protección de Datos el desempeño de las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.” Por su parte, el Art. 67 de la LOPDGDD, sobre las actuaciones previas de investigación, indica que: “
3. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la AEPD podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
4. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica. Y la Disposición Adicional cuarta de la citada Ley LOPDGDD determina, sobre el procedimiento en relación con las competencias atribuidas a la AEPD, por otras leyes, que: “Lo dispuesto en el Título VIII y en sus normas de desarrollo se aplicará a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” III En el presente caso se trataba de determinar, a la vista del conjunto de elementos de juicios disponibles, las responsabilidades que pudieran derivarse por los responsables de los dominios: ***URL.1 y ***URL.2 en relación con el tratamiento de los datos personales que se realizan a través de las webs, así como, la gestión de las cookies que se utilizaban. No obstante, de las actuaciones practicadas por esta Agencia se ha podido comprobar que los dominios mencionados están registrados a nombre de otra entidad ajena a la investigada. Estos es, las webs: ***URL.1 y ***URL.2 están registradas a nombre de la entidad: ***EMPRESA.1, y no, a nombre de la entidad, que en un principio se realizaron las actuaciones de investigación: SOFTWARE PARTNERS S.L, cuya única relación con las páginas webs mencionadas es que es el proveedor de servicios que da soporte de consultoría informática y es propietaria de la plataforma que aloja las webs sin tener ninguna responsabilidad sobre los dato personales que las web alojadas en su plataforma pudieran realizar. A la vista de todo lo cual, al ser identificado el responsable de las páginas webs investigadas, en una entidad diferente a la que inicialmente se realizó las actuaciones de investigación, se debe procederse al archivo de las presentes actuaciones. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la resolución a la entidad, SOFTWARE PARTNERS S.L, De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es