E-13526-2021

1/7  Expediente Nº: E/13526/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad, NEW WEBMASTER, S.L. con CIF.: B84078237, titular de la página web: ***URL.1 por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha Con fecha 11/03/21, la Directora de la Agencia Española de Protección de Datos acordó la apertura de actuaciones previas de investigación frente a la entidad, NEW WEBMASTER, S.L., titular de la página web: ***URL.1, atendiendo a los poderes de investigación que la autoridad de control puede disponer al efecto, establecidos en el apartado 1), del artículo 58 el RGPD, y en relación con el posible tratamiento de datos los personales de menores de catorce años, obtenidos durante la navegación por la web y el perfilado de los mismos. SEGUNDO: Con fecha 24/03/21, por parte de esta Agencia, en relación con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se envió a la entidad, JIMBO NETWORKS, S.L. escrito de solicitud de información sobre los siguientes puntos: - La gestión de los riesgos asociado a las actividades de tratamiento en que se pudiera producir un acceso ilegítimo de un menor a los contenidos que ofrecen; - La evaluación de impacto relativa a la protección de datos respecto del análisis de riesgos; - Medidas técnicas y organizativas implantadas en su entidad que suponga limitación de acceso de menores de edad a los contenidos ofrecidos; - Limitaciones para que los menores accedan dichos contenidos; - Política de privacidad y ubicación pública de la misma; - Medidas técnicas y organizativas a tomar en su entidad ante eventual comprobación de un acceso indebido de un menor a sus contenidos; Medidas técnicas y organizativas que reflejen la protección de datos personales y los procesos de verificación y evaluación de la eficacia de las medidas y sobre si realizan perfilado de los datos personales de quienes acceden a sus contenidos. TERCERO: Con fecha 15/04/21, la entidad, NEW WEBMASTER, S.L., remite a esta Agencia, escrito de contestación, en el cual, entre otras, indica lo siguiente: “En la versión actual de ***URL.1, el 100% de los usuarios que acceden a la web lo hacen como “invitados”. Esto quiere decir que no pueden interactuar con otros usuarios ni disfrutar de servicios extra y/o personalización de los contenidos como si hacen otras plataformas que cuentan con alta de usuarios donde los usuarios pueden acceder como “invitados” o como “usuarios registrados”. En un futuro nuestra web contará con una sección de usuarios registrados, pero en la actualidad no está disponible ni programada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Todos los usuarios que acceden a nuestra web como usuarios invitados lo hacen libremente a través de buscadores; de redes sociales; a través de hipervínculos de recomendación en otros sitios web o mediante tráfico directo (es decir, el usuario teclea directamente en su ordenador nuestra dirección). De la misma manera en que los usuarios son libres para entrar lo son para salir en cualquier momento. Desde ***URL.1 no tratamos datos personales de ningún usuario que acceda a nuestra web porque no realizamos recogida alguna de datos personales. Por lo tanto, no tratamos ni almacenamos datos personales de usuarios y no tenemos conocimiento alguno de su nacionalidad, edad, sexo ni otros datos identificativos. No obstante, lo anterior, en nuestra página web tenemos un control de acceso inicial que informa del contenido para mayores de edad al que se está a punto de acceder, se ofrece información a padres para poder bloquear el acceso a menores (control parental) con enlace ***URL.2 (donde se ofrecen al usuario una completa gama de programas y herramientas para bloquear el acceso a la web si así se quisiera) y se solicita declarar la mayoría de edad para poder cargar el contenido de la web (las fotos quedan pixeladas de fondo hasta que se pulse en “ENTRAR, SOY MAYOR DE EDAD”). Una vez se pulsa se guarda una cookie técnica en el dispositivo desde el que se ha accedido con el nombre “p_datos” y con una caducidad de 2 años. También se da la posibilidad de pulsar una “X” de cierre de ventana (por motivos de optimización para buscadores “XXXXXXX”) guardándose una cookie técnica con el nombre “p_datos_cerrar” de 1 dia de duración. El usuario, no obstante, puede borrar cookies de su dispositivo en cualquier momento y tras realizarlo deberá, nuevamente, de repetir todo el proceso. De igual manera nuestro sitio web tiene en su cabecera <head> una etiqueta proporcionada por rtalabel.org que identifica nuestro dominio como material pornográfico con el fin de que, utilizando el software de dicha empresa, cualquier persona pueda bloquear el acceso a la web desde el dispositivo deseado. XXXXXXXX. En el pie de página de la web tenemos un enlace llamado “control parental” donde, como ya citamos anteriormente, se recogen una serie de enlaces y herramientas para la crianza digital, software de control parental dedicado y maneras de bloquear el acceso a sitios pornográficos sea cual sea el sistema operativo desde el que se acceda. Dichos métodos de control están disponibles en todas las páginas de la web. Respecto a la seguridad de nuestro sitio web, nuestro proveedor de hosting BRUTALSYS SL realiza dos auditorias de seguridad anuales analizando varios factores que corroboran la calidad del sitio en términos de seguridad. Disponemos de acceso seguro https emitido por “Let´s Encrypt”, su mantenimiento y renovación es gestionada por dicha empresa de hosting. Adjuntamos últimas dos auditorias de seguridad realizadas. A título informativo hay que destacar que el responsable de firmar dichos informes se trata del señor A.A.A., reputado experto en seguridad a nivel mundial y que, por ejemplo, recientemente fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 entrevistado por B.B.B. en su programa al hilo de los ataques informáticos recibidos por el SEPE. Dicho todo lo anterior, pasamos a responder los puntos del requerimiento: No presentamos pues no existe tratamiento de datos. No presentamos pues no existe registro de actividades de este tratamiento. No presentamos porque no se ha realizado análisis y gestión de riesgos indicados en el punto

1. Tenemos el etiquetado RTA LABEL que permite a los padres marcar nuestra web como de contenidos pornográficos y, siguiendo las instrucciones de uso e instalación del software de RTA LABEL explicado en su página web, poder bloquear el acceso a menores de edad si fuera menester. Se proporcionan las herramientas en ***URL.
2. Además, mostramos una alerta de entrada en la web con un boten de “ENTRAR, SOY MAYOR DE EDAD” que instala una cookie de acceso/control tal y como hemos explicado anteriormente. No se recoge ni se trata ningún dato personal de ningún visitante de la web. No realizamos ningún sistema de control que nos permita saber la edad de los visitantes de la web, ni su sexo, ni su raza, ni su dirección IP. No recogemos datos personales de ningún visitante de la web, por lo tanto, no se realiza ningún tratamiento de estos. No recogemos datos personales de ningún visitante de la web, por lo tanto, no se realiza ningún tratamiento de estos. Aportamos no obstante dos últimas auditorias realizadas por empresa externa sobre la seguridad de la web. No recogemos ni tratamos datos personales de ningún visitante de la web. CUARTO: Con fecha 15/11/21, por parte de esta Agencia se realizan las siguientes comprobaciones en la página web ***URL.1 : a).- Sobre el control parental de la página web: 1.- Se comprueba que consta la etiqueta siguiente en el código HTML cargado en el navegador según XXXXXXXXX. La mencionada etiqueta significa etiquetar un sitio como “reservado para adultos” según consta en ***URL.
3. 2.- En la parte inferior de la página web existe un enlace titulado <<control parental>>, a través del cual, la web redirige a una nueva página: ***URL.2, donde se proporciona la información sobre: - La finalidad de la página web; - sobre los enlaces de interés en mataría de control parental sobre página de contenido pornográfico; - cómo instalar motores de búsqueda específicos para menores de edad; - cómo activar los controles parentales integrados en los sistemas operativos; - sobre el software de control parental existente en el mercado; - información sobre la crianza digital. b).- Sobre el tratamiento de datos personales: 1.- El acceso a la web es gratuito y libre, no requiriéndose registro alguno para la visualización de los vídeos. Tampoco existe ningún apartado de contacto o de formulario donde se pueda obtener datos personales de los usuarios de la página c).- Sobre la Política de Privacidad: 1.- Si se accede a la <<Política de Privacidad>>, a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página ***URL.4, donde se informa de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “De conformidad con lo establecido en el REGLAMENTO (UE) 2016/679 de protección de datos de carácter personal y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales, le informamos que a través de este sitio web no se recaban datos de carácter personal de los usuarios que navegan en esta web. La web de la que es titular NEW WEBMASTER, S.L. contiene enlaces a sitios webs de terceros, cuyas políticas de privacidad son ajenas. Al acceder a tales sitios web usted puede decidir si acepta sus políticas de privacidad y de cookies. Con carácter general, si navega por internet usted puede aceptar o rechazar las cookies de terceros desde las opciones de configuración de su navegador. NEW WEBMASTER, S.L. no utiliza cookies para recoger información de las personas usuarias, ni registra las direcciones IP de acceso. Únicamente se utilizan cookies propias de tipo técnicas (aquellas que permiten la navegación a través del sitio web y la utilización de las diferentes opciones y servicios que en ella existen). Puede ver el detalle de las cookies que utilizamos en nuestra <<POLITICA DE COOKIES>>. 2º.- Si se accede al <<aviso legal>>, a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página ***URL.5, donde se informa de lo siguiente: Aviso Legal Web: En cumplimiento con el deber de información recogido en artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, a continuación, se reflejan los siguientes datos: La empresa titular de la web (en adelante, LA EMPRESA) pone a su disposición la siguiente información: URL: ***URL.1 Identificación: NEW WEBMASTER, S.L. CIF: B
4. Dirección Fiscal: ***DIRECCIÓN.
5. Dirección Postal: Apartado de Correos 2096, 28924 Madrid. E-Mail: ***EMAIL.
6. Datos de registro: Inscrita en el Registro Mercantil de Madrid, al tomo 20.417, Libro 0, Folio 171, Sección 8ª, Hoja M-361.138 Además de ello, se proporciona información sobre los siguientes aspectos: condiciones generales de uso de la web y su aceptación; - objeto de la página; condiciones de acceso y utilización de la web; - copyright y marcas registradas; responsabilidades por daños y perjuicios; - límite de responsabilidad; - jurisdicción y legislación aplicable d).- Sobre la Política de Cookies:
7. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ningún tipo de acción sobre la página, se comprueba que no se utilizan cookies que no sean técnicas o necesarias.
8. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Usamos cookies técnicas para mejorar su experiencia como usuario. NO RECOGEMOS NI TRATAMOS DATOS PERSONALES. <<Leer más>>> -<<Aceptar>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 a).- Si se opta por “aceptar” a través de la opción correspondiente, se comprueba como la web sigue sin utilizar cookies que no sean técnicas o necesarias. 3º.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner <<Leer más>> o a través del enlace <<Política de Cookies>> situado en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.6, donde se proporciona información sobre, qué son las cookies, qué tipos de cookies existen, identifica las cookies que utiliza la página web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los navegadores instalados en los equipos terminales. FUNDAMENTOS DE DERECHO I.- Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies”: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). II.- Sobre el tratamiento de los datos personales y la política de privacidad de la web: Se ha podido constatar que, el acceso a la web es gratuito y libre, no requiriéndose registro alguno para la visualización de los vídeos. Tampoco existe ningún apartado de contacto o formulario desde donde se pueda obtener datos personales de los usuarios de la página. Por su parte, en la “Política de Privacidad” en el “aviso legal” de la página web se proporciona información sobre quién es el responsable del sitio web; se informa de que a través de este sitio web no se recaban datos de carácter personal de los usuarios que navegan en esta web y se informa de las condiciones generales de uso de la web y su aceptación; el objeto de la página; las condiciones de acceso y utilización de la web; el copyright y marcas registradas; las responsabilidades por daños y perjuicios; los límites de responsabilidad; la jurisdicción y legislación aplicable. En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la página web ***URL.1 , al no realizar ningún tipo de tratamiento de datos personales, no contradice lo estipulado en el RGPD. III.- Sobre la Política de Cookies de la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Esta agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), no se utilizan cookies propias ni de terceros que no sean necesarias. Además, el banner sobre cookies que aparece en la página principal informa de los siguiente: “Usamos cookies técnicas para mejorar su experiencia como usuario. NO RECOGEMOS NI TRATAMOS DATOS PERSONALES” Si se opta por la aceptar la política de cookies de la web, se comprueba que se sigue sin utilizan cookies que no son técnicas o necesarias. En la “Política de Cookies”, (segunda capa), se proporciona información sobre, qué son las cookies, los tipos de cookies que existen y se identifican las cookies que se utilizan en la web, (identificador, proveedor, finalidad y tiempo de activación), y cómo gestionarlas. En este sentido, el artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, establece que: “
9. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad NEW WEBMASTER, S.L. con CIF.: B84078237, titular de la página web, ***URL.
10. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es