1/6 Procedimiento Nº: PS/00037/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00037/2021, instruido por la Agencia Española de Protección de Datos, a la entidad, PRODUCCIONES ROCKNROCK, S.L., con CIF.: B62757596, titular de la página web, https://www.rocknrock.com/,(en adelante, “la entidad reclamada”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/09/20, se remitió a esta Agencia escrito presentado por, D. ***TELEFONO.1 (en adelante, “la persona reclamante”), indicando, entre otras, lo siguiente: “En la página web https://www.rocknrock.com/ se están cometiendo algunas irregularidades respecto a la política de privacidad y política de cookies. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma. Así, con fecha 26/10/20 y 06/11/20, se dirigen sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 26/10/20, a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino el día 06/11/20. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 06/11/20, a través del servicio de SICER, fue devuelto a origen con el mensaje de “ausente”, el día 20/11/20. TERCERO: Con fecha 01/02/21 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD), al considerar, en base a los documentos presentados en la reclamación que, la página web en cuestión puede estar incumpliendo la legislación vigente. CUARTO: Por parte de esta Agencia, con fecha 03/03/21, se realizan comprobaciones sobre la “Política de Privacidad”, el “Aviso Legal” y la “Política de Cookies”, en la página web, www.rocknrock.com , comprobándose lo siguiente: - A).- Sobre el tratamiento de datos personales en la página web: 1.- A través del enlace existente en la parte inferior de la página principal, <<contacto>>, la web redirige a una nueva página, https://www.rocknrock.com/contacto/, donde se despliega un formulario destinado a ponerse en contacto con el responsable de la web, y donde se deben introducir datos personales de los usuarios, como el nombre y el correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 También existe la posibilidad, si se desea, de suscribirse al “boletín informativo”, introduciendo el correo electrónico, en otro formulario existente en la parte derecha de la web. 2.- Si el usuario desea recuperar el dinero de su entrada, a través del enlace: <<entradas>> <<devolución de entradas>>, la web redirige a una nueva página, https://www.rocknrock.com/devolucion-entradas-rocknrock/ , donde se recogen datos personales de los usuarios, como el nombre y apellidos, correo electrónico, teléfono y DNI. En dicha página, existen los siguientes mensajes: “Este formulario sirve solo para tramitar una única compra con sus respectivas entradas. Si tienes más de una entrada que necesitas tramitar y las adquiriste en compras distintas, deberás rellenar un formulario para cada una de ellas. Estos datos son necesarios para proceder al ingreso del importe de tu compra en RocknRock”. Antes de poder enviar el formulario para la devolución del precio de las entradas, es necesario aceptar la política de privacidad: “_ He leído y acepto la política de privacidad”. 3.- Si el usuario desea recupera el dinero de su entrada, a través del enlace,<<tienda>> https://www.rocknrock.com/tienda/ , la web le informa de lo siguiente: “Si adquiriste tu entrada a través de “Ticket Master”, por favor selecciona el concierto para el que quieres devolver la entrada y rellena el formulario”. A través del desplegable, <<selecciona un concierto-v>>, y tras la selección de uno de ellos, la web redirige al usuario a un nuevo formulario alojado en una nueva página web, perteneciente a la entidad “Cognitoforms”, (plataforma, a través de la cual, se pueden crear, alojar y gestionar formularios de contacto): https://www.cognitoforms.com/TicketmasterES/RockNRock?entry=%7BIdP: %228132%22%7D. Según se indica en la política de privacidad del formulario, éste pertenece y está gestionado por otra entidad ajena a la reclamada, “Ticketmaster”: https://www.ticketmaster.es. - B).- Sobre la “Política de Privacidad” de la página web: 1.- A través del enlace, <<Condiciones y Política de Privacidad>>, existente en la parte inferior de la página principal, y en la página del formulario para la devolución de las entradas, la web redirige a la página, https://www.rocknrock.com/condiciones/, que proporciona, entre otras, información sobre sobre la titularidad de página, la legitimación en el tratamiento de datos; la finalidad con que tratan los datos personales recogidos; el tiempo de conservación de los mismos; sobre la cesión a terceros de los datos o sobre los derechos que asisten a los usuarios sobre el tratamiento de sus datos personales. - C).- Sobre la “Política de Cookies” de la página web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 1.- Al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies se comprueba que se utilizan cookies no necesarias, tanto propias como de terceros, cuyo dominio pertenecen a “youtube.com”; “Google.com”; “addthis.com”. 2.- No existe, en esta página inicial, (primera capa), ningún tipo de banner o información sobre la utilización de cookies. Tampoco existe ningún enlace que redirija a la política de cookies de la página web, por lo que se constata que no existe tal política. QUINTO: Con fecha 12/03/21 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39.1.
- c)y 40) de la citada Ley respecto de su Política de Cookies, imponiendo una sanción inicial de 2.000 euros. SEXTO: Notificado el acuerdo de inicio con fecha 23/03/21 a la entidad reclamada, no se ha recibido en esta Agencia ningún escrito de a alegaciones a la incoación del expediente en el tiempo concedido al efecto. HECHOS PROBADOS 1.- Según el escrito de reclamación, en la web https://www.rocknrock.com/ se están cometiendo irregularidades respecto a la política de privacidad y a la política de 2.- Según ha podido comprobar esta Agencia, la web puede recabar datos personales de los usuarios, como el nombre y el correo electrónico. También existe la posibilidad, si se desea, de suscribirse al “boletín informativo”, introduciendo el correo electrónico, en otro formulario existente en la parte derecha de la web. En la “Política de Privacidad” de la web, se proporciona información sobre la titularidad de página; la legitimación en el tratamiento de datos; la finalidad con que tratan los datos personales recogidos; el tiempo de conservación; la cesión a terceros de los datos y sobre los derechos que asisten a los usuarios. Sobre la “Política de Cookies” esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies se comprueba que se utilizan cookies no necesarias, tanto propias como de terceros, cuyo dominio pertenecen a “youtube.com”; “Google.com”; “addthis.com”. Se comprueba también que no existe ningún tipo de banner o información sobre la utilización de cookies, ni enlace que redirija a la política de FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II El art 64.2.
- f)de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, (LPACAP), dispone que: “
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
- f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
- f)de la LPACAP, el acuerdo de inicio es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III En el presenta caso, esta Agencia ha podido comprobar que, al entrar en la página inicial de la web reclamada, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan cookies no necesarias, tanto propias como de terceros, cuyo dominio pertenecen a “youtube.com”; “Google.com”; “addthis.com”. Se ha podido comprobar también que no existe ningún banner de información sobre la utilización de cookies en la web ni enlace que redirija a la política de cookies. Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la primera reclamación de septiembre de 2020, (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 2.000 euros (dos mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies de la página web https://www.rocknrock.com/. A tenor de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad PRODUCCIONES ROCKNROCK, S.L., con CIF.: B62757596, titular de la página web https://www.rocknrock.com/, una sanción de 2.000 euros (dos mil euros), por la infracción del artículo 22.2 de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a la entidad PRODUCCIONES ROCKNROCK, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se enC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es