PS-00031-2018

1/13 Procedimiento Nº PS/00031/2018 RESOLUCIÓN: R/00787/2018 En el procedimiento sancionador PS/00031/2018, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista las denuncias presentadas por las entidades ARTISTAS INTÉRPRETES O EJECUTANTES (AIE), SOCIEDAD DE GESTIÓN DE ESPAÑA, PRODUCTORES DE MÚSICA DE ESPAÑA (PROMUSICAE) y SOCIEDAD GENERAL DE AUTORES Y EDITORES (SGAE), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 19, 22/05 y 25/07/2017, tuvieron entrada en esta Agencia escritos de las entidades ARTISTAS INTÉRPRETES O EJECUTANTES (AIE), SOCIEDAD DE GESTIÓN DE ESPAÑA, PRODUCTORES DE MÚSICA DE ESPAÑA (PROMUSICAE) y SOCIEDAD GENERAL DE AUTORES Y EDITORES (SGAE) (en lo sucesivo las denunciantes), en el que formulan denuncia contra D. A.A.A. (en lo sucesivo el denunciado), en su condición de titular de la web www.sound-park.es. En estas denuncias se ponen de manifiesto los siguientes hechos:  La página web http://www.sound-park.es (que redirige al dominio http://soundpark.gratis), cuyo titular según el registro de red.es es el denunciado, incumple los siguientes preceptos legales: o Artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), al incumplir el deber de información en la recogida de datos personales a través del registro de usuarios en la web. o Artículo 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), al incumplir la obligación de recabar el consentimiento de los destinatarios para utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales.  Asimismo, señalan que pudiera haber incumplido los siguientes: o Artículo 6 de la LOPD, al no solicitar el consentimiento del afectado ni ofrecer instrucciones para su revocación. o Artículo 26 de la LOPD, que regula la obligación de notificación e inscripción registral de los ficheros que contengan datos de carácter personal. o Artículo 33 de la LOPD, en relación al movimiento internacional de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 datos personales. En escrito de fecha 04/08/2017, PROMUSICAE añade:  La web www.sound-park.es actualmente redirige de forma automática al dominio www.soundpark.cat.  Según los datos facilitados por la entidad CLOUDFLARE, INC., la empresa proveedora del hosting de la web www.soundpark.cat es la entidad ucraniana PE TETYANA MYSYK (OPATELECOM), cuya dirección de correo electrónico para reportar abusos es telecom@marcoceriello.com. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: 1. Respecto a la titularidad del sitio de internet denunciado, se recaba la siguiente información:  Con fecha de 02/10/2017 se recaba del sitio web https://www.nic.es/ la siguiente información sobre el dominio sound-park.es: o Nombre del Dominio: sound-park.es o Titular: A.A.A. o Fecha de Alta: 16-02-2016 o Fecha de Caducidad: 16-02-2018 o Nombre Servidor DNS: woz.ns.cloudflare.com; ivy.ns.cloudflare.com  Con fecha de 04/10/2017 se solicitó información a la Entidad Pública Empresarial Red.es en relación con la titularidad del dominio sound-park.es. Red.es facilita, entre otra, la siguiente información registrada en sus bases de datos con fecha de 09/10/2017 sobre el dominio sound-park.es: o Estado: Activado o Titular: A.A.A. o Tipo de Contacto: Persona física o Domicilio: ***DIRECCION.1 o Teléfono: ***TELEFONO.1 o Email: ***EMAIL.1 o Persona de contacto facturación: ***CONTACTO.1 o Domicilio de contacto facturación: ***DIRECCION.2 o Teléfono de contacto facturación: ***TELEFONO.2  Según la información recabada de myip.ms (servicio de información sobre sitios web), los sitios sound-park.es y soundpark.casa están alojados en servidores (‘hosting’) de la compañía Cloudflare, Inc en EEUU. Se solicitó a esta entidad, vía correo electrónico, información en relación con la titularidad del servicio contratado para los dominios sound-park.es y soundpark.casa.  Con fecha de 04/10/2017 se dirigió un escrito a Cloudflare, Inc solicitando información sobre los datos de contacto del titular de los dominios soundpark.casa y sound-park.es. Ese mismo día se recibió un acuse de recibo “automático” de dicho escrito. No obstante, en esta Agencia no se ha recibido escrito alguno de respuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13  Con fecha de 25/01/2017, se dirigió un nuevo escrito a Cloudflare, Inc solicitando información sobre los datos de contacto del titular de los dominios soundpark.casa y sound-park.es, que tampoco ha sido respondido. 2. Respecto a la utilización de dispositivos de almacenamiento y recuperación de datos en equipos terminales se recaba la siguiente información:  Con fecha de 03/10/2017 se realiza el borrado de las ‘cookies’ del navegador de internet, comprobándose tras ello que habían sido realmente eliminadas del sistema. Se accede a la dirección http://www.sound-park.es. Automáticamente se produce la redirección a la URL https://soundpark.casa/. Este sitio de internet no solicita el consentimiento para utilizar dispositivos de almacenamiento y recuperación de datos (comúnmente denominados ‘cookies’) en equipos terminales. Se comprueba que, inmediatamente después del acceso, aparecen ‘cookies’ en el sistema. Con fecha de 6/10/2017 se comprueba que las cookies cargadas tras el acceso a https://soundpark.casa/ son las siguientes: IDE _gat _ga _gid _ym_isad _ym_uid _ym_visorc_41991199 Dominio .doubleclick.net .soundpark.casa .soundpark.casa .soundpark.casa .soundpark.casa .soundpark.casa .soundpark.casa Caducidad Persistente Persistente Persistente Persistente Persistente Persistente Persistente La cookie denominada IDE es, según se indica en las Condiciones de Privacidad de Google en el apartado Tipos de Cookies que utiliza Google (https://www.google.com/policies/technologies/types/), una de las principales almacena en navegadores en el dominio doubleclick.net. Asimismo, se contrasta que en la parte superior de las distintas páginas web que componen el sitio web hay un espacio en el que se muestran anuncios publicitarios. 3. Respecto al tratamiento de datos de carácter personal de los usuarios, se recaba la siguiente información:  Con fecha de 03/10/2017 se navega por el sitio web https://soundpark.casa/. Se comprueba (apartado dedicado a preguntas frecuentes https://soundpark.casa/faq#ans3-1), que existen diferentes posibilidades de acceso según el tipo de usuario (registrado o no). Al formulario de registro de usuario se accede a través del enlace Convertirse en usuario del sitio web, que redirige a la página https://soundpark.casa/registration. Se solicita entonces la siguiente información para realizar el registro: Nombre de Usuario, Email y Contraseña. Asimismo, requiere marcar dos casillas con los textos He leído Acuerdo de usuario y He leído Reglas del sitio respectivamente. Una vez introducidos los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 datos y marcadas las casillas, se debe pulsar el botón Registración para continuar el proceso. Posteriormente se confirma que el registro se completó con éxito y se insta, para completar el proceso, a contestar a un correo electrónico enviado a la dirección de email facilitada previamente por el usuario. Este correo electrónico solicita, para confirmar el registro, que el usuario pulse un enlace, el cual abre la página https://soundpark.casa/editprofile/registered. En ésta se solicita al usuario determinada información, figurando como obligatorios para poder guardar el registro del usuario los datos relativos a nombre y apellidos, email, género, fecha de nacimiento, ciudad, país, género favorito, categorías de noticias de interés.  El Acuerdo de Usuario está publicado en la dirección (https://soundpark.casa/useragreement). Con respecto al uso de los datos de carácter personal del “usuario”, incluye las siguientes referencias: El usuario se compromete a no suministrarle a otras personas sus datos personales recibidos al registrarse (nombre de usuario y contraseña) para la entrada/identificación en el Recurso y asume completa responsabilidad por la pérdida y desaparición o el traspaso de otras formas de los datos personales, asimismo como por las consecuencias relacionadas con dichos actos. La administración del Recurso no asume responsabilidad por las actuaciones de terceros, los cuales usaron los datos personales del Usuario. La Administración del Recurso no asume ninguna responsabilidad por la garantía de la confidencialidad en relación a la información, presentada por los Usuarios, aunque toma todas las medidas posibles para ello, si no existen acuerdos de lo contrario o correspondientes requerimientos de la legislación vigente. Incluye además el contenido siguiente: El Usuario presta su consentimiento de que todas las posibles disputas relacionadas con el ACUERDO DE USO se solucionarán de conformidad con las normas de la legislación de la Federación de Rusia. El usuario presta su consentimiento, a que las normas y leyes de protección de los derechos del consumidor no pueden aplicarse al uso del Recurso por el mismo, ya que no presta servicios de ánimo de lucro.  Las Reglas del Sitio están publicadas en el sitio web en la página https://soundpark.casa/rules. Con respecto al uso de los datos de carácter personal del “usuario”, incluye las siguientes referencias: Estas normas fueron creadas para mantener el orden en el sitio Sound-Park, no se cuestionan y son obligatorias para el cumplimiento de todos los usuarios del sitio sin excepción. (…) Hay que indicar un E-mail que funciona y que por supuesto le pertenece. También pedimos que indique datos adicionales: Nombre, Fecha de nacimiento, Ciudad de residencia, Estilos preferidos, etc. (…) Cualquier noticia debe estar redactada correctamente en idioma español. TERCERO: Con fecha 07/03/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. A.A.A., por la presunta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

1. c)de la citada Ley Orgánica. A los efectos previstos en el artículo 64.2.
2. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el citado acuerdo de apertura se determinó que, de acuerdo con las evidencias obtenidas con anterioridad a dicha apertura, la sanción que podría corresponder por la infracción del artículo 5 de la LOPD sería de 2.000 euros (dos mil trescientos euros), sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de apertura al denunciado, el plazo que le fue concedido para formular alegaciones transcurrió sin que en esta Agencia haya tenido entrada escrito alguno. En consecuencia, se elevó el procedimiento a la Directora de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo de apertura del procedimiento se informó que, en caso de no realizar alegaciones contra dicho acuerdo, se entendería el mismo como propuesta de resolución en virtud de lo previsto en el artículo 64.2.
3. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). HECHOS PROBADOS 1. D. A.A.A. es titular de la web “www.sound-park.es”. Actualmente, el acceso a dicha web produce la redirección automática a la URL https://soundpark.casa/. 2. Por los Servicios de Inspección de la AEPD se comprobó que el sitio web “www.soundpark.casa” utiliza dispositivos de almacenamiento y recuperación de datos en equipos terminales. 3. La web “www.soundpark.casa” dispone de un formulario de registro, accesible a través de la url https://soundpark.casa/registration, que pueden utilizar aquellos interesados en convertirse en usuarios de la misma, mediante el que se recaban el nombre de usuario y dirección de correo electrónico. Posteriormente, para completar el proceso de registro, se solicitan los datos personales relativos a nombre y apellidos, email, género, fecha de nacimiento, ciudad, país, género favorito, categorías de noticias de interés. 4. Con respecto al uso de los datos de carácter personal del “usuario”, el Acuerdo de Usuario (publicado en la dirección https://soundpark.casa/useragreement) incluye las siguientes referencias: El usuario se compromete a no suministrarle a otras personas sus datos personales recibidos al registrarse (nombre de usuario y contraseña) para la entrada/identificación en el Recurso y asume completa responsabilidad por la pérdida y desaparición o el traspaso de otras formas de los datos personales, asimismo como por las consecuencias relacionadas con dichos actos. La administración del Recurso no asume responsabilidad por las actuaciones de terceros, los cuales usaron los datos personales del Usuario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 La Administración del Recurso no asume ninguna responsabilidad por la garantía de la confidencialidad en relación a la información, presentada por los Usuarios, aunque toma todas las medidas posibles para ello, si no existen acuerdos de lo contrario o correspondientes requerimientos de la legislación vigente. 5. Las Reglas del Sitio están publicadas en el sitio web en la página https://soundpark.casa/rules. Con respecto al uso de los datos de carácter personal del “usuario”, incluye las siguientes referencias: Estas normas fueron creadas para mantener el orden en el sitio Sound-Park, no se cuestionan y son obligatorias para el cumplimiento de todos los usuarios del sitio sin excepción. (…) Hay que indicar un E-mail que funciona y que por supuesto le pertenece. También pedimos que indique datos adicionales: Nombre, Fecha de nacimiento, Ciudad de residencia, Estilos preferidos, etc. (…) Cualquier noticia debe estar redactada correctamente en idioma español. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
5. f)de la LPACAP establece que el acuerdo de iniciación de un procedimiento sancionador se notificará al interesado haciendo constar en dicha notificación que, de no efectuar alegaciones sobre el contenido, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. En este caso, en el acuerdo de inicio de la Directora de la Agencia Española de Protección de Datos se hacía referencia a este artículo, advirtiendo a la denunciada sobre las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción imputada a la misma. III Se considera, por un lado, que la conducta realizada por el denunciado afecta a datos de carácter personal relativos a personas identificadas o identificables y, por otro, que la LOPD resulta de aplicación. Procede analizar el ámbito de aplicación de la LOPD respecto de los hechos a imputar; cuestión de la que se derivan tres aspectos básicos como son la aplicación o no de la LOPD, la propia competencia de la Agencia Española de Protección de Datos y la imputabilidad de las entidades citadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 El examen de estas cuestiones exige considerar si la conducta analizada han sido llevadas a cabo empleando medios situados en España por parte del denunciado. Si nos encontrásemos en este caso serían aplicables los principios, derechos y garantías previstos en la legislación española de protección de datos. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal: (…)
6. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. Y el último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por otra parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal: (…)
7. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español”. En este mismo sentido se pronuncia el artículo 4 “Derecho nacional aplicable” de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE); artículo 4 que establece lo siguiente: “Derecho nacional aplicable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando: (…)
8. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
9. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma Directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “