1/5 Procedimiento Nº: PS/00116/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00116/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, LA CASA COMPROMETIDA, S.Coop. con CIF.: F95964086, titular de la página web ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 03/10/19, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La web ***URL.1, dedicada a la venta online de productos diversos, no cumple la actual normativa sobre Protección de Datos por, entre otras, las siguientes circunstancias: Carece de información debida sobre las cookies utilizadas”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 19/12/19 y 07/01/20, se dirigen sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, del Ministerio de Política Territorial y Administración Pública, el requerimiento enviado a la entidad reclamada el 19/12/19, a través del servicio de Notific@, fue rechazado por la entidad el día 30/12/
- Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada el 07/01/20, a través del servicio de SICER, fue recogido en destino 15/01/20, siendo el receptor: B.B.B. (***NIF.1). TERCERO: Con fecha 19/04/20 se consulta la página web, comprobando los siguientes aspectos sobre la política de privacidad y la política de cookies de la página web: A) Respecto de la Política de Privacidad: En la parte inferior de la página inicial de la web, a través del link a “Política e Privacidad”, se accede a la página ***URL.2, en la cual, se proporciona, entre otras, información sobre: el responsable del tratamiento, la recopilación, finalidad, legitimación; la base legal que se aplica; los derechos de los usuarios y la revocabilidad del consentimiento; la finalidad del tratamiento de los datos personales; el derecho a presentar una reclamación; la seguridad aplicada a los datos de carácter personal y sobre los destinatarios. B) Sobre la Política de Cookies de la página web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 b.1.) Al acceder a la página web ***URL.3 (primera capa), existe un banner de información sobre cookies en la parte inferior de la página, con la siguiente leyenda: “Esta tienda utiliza cookies y otras tecnologías para que podamos mejorar su experiencia en nuestros sitios”<<ACEPTAR>> b.2.) Si se accede a la política de cookies (segunda capa), a través del enlace “Términos y condiciones”,***URL.4 se proporciona , entre otras, información sobre: qué son las cookies; para qué utilizan las cookies y qué datos se obtienen. En lo concerniente a la gestión de las cookies, la página no proporciona ningún tipo de información de cómo poder gestionar las cookies. Tampoco existe la opción de poder rechazar todas las cookies. CUARTO: Con fecha 17/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2 de la LSSI, con una sanción inicial de 3.000 euros (tres mil euros). QUINTO: Notificada la incoación del expediente el día 29/06/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Sobre la Política de Privacidad de la página web denunciada, se ha podido comprobar que la misma proporciona información sobre: el responsable del tratamiento, la recopilación, finalidad, legitimación; la base legal que se aplica; los derechos de los usuarios y la revocabilidad del consentimiento; la finalidad del tratamiento de los datos personales, el derecho a presentar una reclamación; la seguridad aplicada a los datos de carácter personal y los destinatarios de los datos personales. 2ª.- Sobre la Política de Cookies de la página web, se ha comprobado que, en la misma, existe un banner de información sobre cookies con la leyenda: “Esta tienda utiliza Si se accede a la política de cookies, a través del enlace correspondiente, se proporciona información sobre: qué son las cookies o para qué utilizan las cookies, pero, resC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 pecto a la gestión de las cookies, la página no proporciona ningún tipo de información. Tampoco existe la opción de poder rechazar todas las cookies. FUNDAMENTOS DE DERECHO I Competencia: - Sobre la Política de Privacidad: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. - Sobre la Política de Cookies: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. A).- De las actuaciones practicadas, con relación a la Política de Privacidad de la página web reclamada, se constata que, en el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que la Política de Privacidad de la página web reclamada no se contradice con lo estipulado en el artículo 13 del RGPD. III B).- De las actuaciones practicadas, con relación a la Política de Cookies, de la página web denunciada, se ha podido comprueba que: En la primera Capa, (página inicial): El banner sobre cookies que se despliega al acceder a la página proporciona información poco concisa o inteligible. En la segunda Capa, “Términos y condiciones”, a través del enlace correspondiente, se constata que, no existe ningún tipo de información sobre la gestión de las cookies ni la posibilidad de su configuración de forma granular y/o la posibilidad de aceptar/rechazar todas las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Los hechos expuestos suponen, por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, tipificada como “leve” en el artículo 38.4 g), de la citada Ley, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la reclamación del mes de octubre de 2019, (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 3.000 euros (tres mil euros), por la infracción del artículo 22.2 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: IMPONER a la entidad LA CASA COMPROMETIDA, S.Coop. con CIF.: F95964086, titular de la página web ***URL.1 una sanción d 3.000 euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de su Política de Cookies. SEGUNDO: REQUERIR a la entidad LA CASA COMPROMETIDA, S.Coop. para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adaptar la página web de su titularidad, conforme a la legislación vigente, para lo cual, puede utilizar la información existente en la “Guía sobre Cookies” editada por la Agencia Española de Protección de Datos en noviembre de
- TERCERO: NOTIFICAR la presente resolución a la entidad, LA CASA COMPROMETIDA, S.Coop. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es