PS-00120-2015

1/36 Procedimiento Nº PS/00120/2015 RESOLUCIÓN: R/01646/2015 En el procedimiento sancionador PS/00120/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por GENTE AMATEUR, S.L., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 y 17 de marzo de 2014 se registran de entrada en esta Agencia sendos escritos de Dña. B.B.B., en representación de GENTE AMATEUR, S.L., en adelante la denunciante, el segundo de los cuales se remite desde el Ministerio de Industria, Energía y Turismo, en los que manifiesta lo siguiente: 1. La denunciante presta servicios de la sociedad de la información en el sector del ocio para adultos actuando a través del sitio web www............... y de otros sitios web. 2. D. A.A.A., en adelante EL RESPONSABLE, es el titular de una serie de sitios web, detallados a continuación, en los que se incumple lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y su reglamento de desarrollo. Se denuncia que: “En concreto, mi entidad ha podido constatar que todos estos sitios web carecen del cumplimiento de las más mínimas normas de las anteriores disposiciones legales, desde la inscripción de los ficheros de datos en el Registro de la Agencia Española de Protección de Datos hasta las obligaciones de consentimiento informado legalmente necesarias.” www........1; www........2 ; www........3; www........4; www........5; www........6; www........7; www........8; www........9; www........10 ; www........11; www........12; www........13; www........14; www........15 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/36 Entiende que los incumplimientos representan un perjuicio para los usuarios de los sitios web que podría ser grave dado la sensible naturaleza (vida sexual) de los datos tratados en relación con los usuarios de dichos sitios web. Con fecha de 17 de marzo de 2014 tiene entrada en esta Agencia copia de la denuncia interpuesta por la denunciante ante el Ministerio de Industria Turismo y Comercio, en el que se denuncian posibles infracciones a la LOPD y a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (en lo sucesivo LSSI), por parte de los sitios web citados en el punto 2. Del contenido del escrito se observa que mientras los hechos denunciados que hacen referencia a la posible vulneración a la normativa de protección de datos se encontrarían dentro del ámbito competencial de esta Agencia, sin embargo, sólo el posible incumplimiento a lo previsto en el artículo 22.2 de la LSSI se encontraría bajo la órbita de actuación de esta Agencia en lo referente a las vulneraciones de la LSSI denunciadas. Por todo lo cual, las actuaciones previas realizadas se han circunscrito a los aspectos incluidos dentro del ámbito competencial de la Agencia Española de Protección de Datos (en adelante AEPD). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia han tenido conocimiento de los siguientes hechos: Al acceder a los sitios web denunciados los días 3 y 4 de febrero de 2015 se ha podido constatar que los citados a continuación no existen o bien carecen de contenido más allá de un anuncio avisando de la disponibilidad del dominio: www........4 ; www........8 www........11 ; www........10 ; www........13 ; www........14 Según pudo constatarse mediante consultas realizadas con fechas 26 de agosto de 2014 y 4 de febrero de 2014 en el Registro General de Protección de Datos, no cOnsta ningún fichero inscrito bajo la titularidad de A.A.A., con NIF ***NIF.1. Respecto de cada uno de los sitios web denunciados que se encontraban activos y alojaban contenidos se constataron los siguientes hechos: 1. www........1 1.1. Dentro del sitio web no se ha localizado ningún formulario que permita la recogida de datos de carácter personal. El sitio web está compuesto por una serie de páginas en las que se muestran fotografías realizadas por su titular, una página que proporciona los datos de contacto del titular y una tienda online que no parece operativa, ya que aunque al acceder a ella se muestran imágenes no se ha localizado la forma de comprarlas o ninguna otra funcionalidad que requiera de la recogida de datos de carácter personal. Es la única de las páginas analizadas que no proporciona servicios de ocio para adultos. 1.2. En el pie de página de todas las páginas, a excepción de la de la tienda web, aparece un texto que identifica al responsable del sitio con el siguiente tenor: “Titular: A.A.A. con NIF ***NIF.1 con domicilio en (C/......1) Barcelona - Email: ....@.......1 Tel: +34***TEL.1”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/36 1.3. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 1.4. Al acceder al sitio web se han descargados un total de 5 dispositivos de almacenamiento y recuperación de datos, en adelante cookies. Dominio Nombre Primera - Tercera parte Caducidad .......1 _utma Tercera .......1 _utmb Tercera Persistente Persistente .......1 _utmc Tercera Sesión .......1 _utmt Tercera Persistente .......1 _utmz Tercera Persistente Todas las cookies descargadas son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. 2. www........2 2.1. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 1 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. Al realiza una búsqueda a través del buscador Google utilizando como criterio la palabra “derechos” en el dominio .......2 se han localizado dos enlaces uno de los cuales lleva a una página2 que sí que contiene dicha información, pero a la que no se ha encontrado acceso directo desde el sitio web analizado. 2.2. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen trabajar como modelos en el sitio web. Los datos recabados son: nombre y apellidos, nombre artístico, edad, ciudad, correo electrónico, teléfono, sitio web, mensaje y fotografías. Excepto el teléfono y el sitio web todos los datos son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre y apellidos, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios  El sitio web dispone de un servicio de videochat de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. 1 www.chicas........ 2 www.chicas........1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/36 En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 2.3. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 2.4. Al acceder al sitio web se han descargados un total de 7 dispositivos de almacenamiento y recuperación de datos. Dominio Nombre Primera Tercera parte Caducidad .......2 _utma Tercera .......2 _utmb Tercera Persistente Persistente .......2 _utmc Tercera Sesión .......2 _utmt Tercera Persistente .......2 _utmz Tercera Persistente .......2 PHPSESSID Primera Sesión www........2 PHPSESSID Primera Sesión Las cookies denominadas _utma, _utmb, _utmc, _utmt y _utmz son utilizados por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. Los dos cookies denominada s PHPSESSID contienen un identificador de sesión y son utilizados en sitios web desarrollados con tecnología PHP para gestionar la sesión del usuario del sitio web. 3. www........3 3.1. El sitio web proporciona un servicio de publicación de anuncios de dos tipos de servicios: chats a través de webcam y servicios de scort. 3.2. En la página principal del sitio web figura un enlace a la página de condiciones legales3 del mismo en la que se identifica al RESPONSABLE como titular del mismo. La página de condiciones contiene un apartado dedicado a la confidencialidad y protección de datos en el que se informa de que las finalidades son:  Prestar nuestros servicios  Resolver controversias, cobrar tarifas y resolver problemas técnicos  Fomentar el comercio seguro y hacer valer nuestras políticas  Personalizar la experiencia de los usuarios, mejorar nuestros servicios, medir su interés por nuestros servicios e informarles de nuestros servicios y novedades  Comunicarle ofertas promocionales 3 www............../themes/default/condiciones-legales.html C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/36  Desarrollar otras actividades dirigidas a los usuarios, descritas en el momento de recoger la información. En cuanto a los derechos ARCO, la página informa de lo siguiente: “Acceso, Rectificar, Cancelar. El usuario puede acceder, rectificar o cancelar la mayoría de sus datos de carácter personal. Para revisar cualquier dato personal que no pueda consultarse en eroXmania, puede comunicarse al E-mail info@.......3 (rogamos al usuario que subsane cualquier incorrección en sus datos). Nosotros cancelamos los datos de carácter personal cuando ya no se necesita para los fines descritos anteriormente. Conservamos la información personal que permite la ley para resolver litigios, hacer valer nuestras políticas e impedir que usuarios malintencionados accedan a la web.”. 3.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen publicar anuncios en el sitio web. Los datos recabados son: categoría (webcams y escorts), ciudad, correo electrónico, teléfono, sitio web, etiquetas, título del anuncio, descripción corta, cuerpo del anuncio y fotografías. Excepto el teléfono, las etiquetas y el sitio web todos los datos son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios. 3.4. En la página principal no se ha localizado información o enlace alguna al uso de DARD en el sitio web. La única información al respecto se ha localizado dentro del apartado de protección de datos de las condiciones legales, en el que cuando describe los datos de carácter personal recogidos dice que entre ellos se encuentran “Datos de registro informático, estadísticas sobre las visitas a las páginas, el tráfico procedente y dirigido a eroXmania y datos publicitarios (todo ello a través de "cookies" - en todo momento, tiene la facultad de impedir el funcionamiento de nuestras "cookies" a través de su navegador, aunque esto puede afectar al uso de ciertas funcionalidades de la página web).” (el subrayado es propio). 3.5. Al acceder al sitio web se han descargados un total de 6 dispositivos de almacenamiento y recuperación de datos. Dominio C/ Jorge Juan, 6 28001 – Madrid Nombre Primera Tercera parte Caducidad .......3 _utma Tercera .......3 _utmb Tercera Persistente Persistente .......3 _utmc Tercera Sesión .......3 _utmt Tercera Persistente .......3 _utmz Tercera Persistente www........3 PHPSESSID Primera Sesión www.agpd.es sedeagpd.gob.es 6/36 Las cookies denominadas _utma, _utmb, _utmc, _utmt y _utmz son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. Las dos cookies denominadas PHPSESSID contienen un identificador de sesión y son utilizados en sitios web desarrollados con tecnología PHP para gestionar la sesión del usuario del sitio web. 4. www........5 4.1. El sitio web es la página profesional de la actriz C.C.C., en la que se publican contenidos para adultos y se proporciona un servicio de chat a través de webcam con la cita actriz. 4.2. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 4 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. 4.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web. Los datos recabados son: nombre, correo electrónico, sitio web y comentario. El nombre y el correo electrónico son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios.  El sitio web dispone de un servicio de videochat que es de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 4.4. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 4.5. Al acceder al sitio web se han descargados un total de 5 dispositivos de almacenamiento y recuperación de datos, en adelante DARD. Dominio Nombre Primera - Caducidad 4 www......../condiciones-legales/0 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/36 Tercera parte .......5 _utma Tercera .......5 _utmb Tercera Persistente Persistente .......5 _utmc Tercera Sesión .......5 _utmt Tercera Persistente .......5 _utmz Tercera Persistente Todos las cookies descargadas son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. 5. www........6 5.1. El sitio web es la página profesional de la actriz D.D.D., en la que se publican contenidos para adultos y se proporciona un servicio de chat a través de webcam con la cita actriz. 5.2. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 5 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. 5.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web. Los datos recabados son: nombre, correo electrónico, sitio web y comentario. El nombre y el correo electrónico son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios.  El sitio web dispone de un servicio de videochat que es de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 5.4. No se ha localizado ninguna información relativa al uso decookies en el sitio web. 5 www......./condiciones-legales/0 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/36 5.5. Al acceder al sitio web se han descargados un total de 6 dispositivos de almacenamiento y recuperación de datos. Dominio Nombre Primera Tercera parte Caducidad .......6 _utma Tercera .......6 _utmb Tercera Persistente Persistente .......6 _utmc Tercera Sesión .......6 _utmt Tercera Persistente .......6 _utmz Tercera Persistente Tercera Persistente ***DOMINIO.1 Los DARD denominados _utma, _utmb, _utmc, _utmt y _utmz son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. El DARD asociado al dominio ***DOMINIO.1 es de tipo “Flash cookie” y se descarga después de reproducir algunos de los videos alojados en la página web. 6. www........7 6.1. El sitio web es la página profesional de la actriz E.E.E. , en la que se publican contenidos para adultos y se proporciona un servicio de chat a través de webcam con la cita actriz. 6.2. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 6 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. 6.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web. Los datos recabados son: nombre, correo electrónico, sitio web y comentario. El nombre y el correo electrónico son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios. 6 www......../condiciones-legales/0 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/36  El sitio web dispone de un servicio de videochat que es de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 6.4. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 6.5. Al acceder al sitio web se han descargados un total de 5 dispositivos de almacenamiento y recuperación de datos. Dominio Nombre Primera Tercera parte Caducidad .......7 _utma Tercera .......7 _utmb Tercera Persistente Persistente .......7 _utmc Tercera Sesión .......7 _utmt Tercera Persistente .......7 _utmz Tercera Persistente 6.6. Todas las cookies descargadas son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. 7. www........9 7.1. El sitio web proporciona servicios de chat para adultos a través de webcam. Todos los servicios están alojados y son proporcionados a través del sitio web www........2 . La página principal es la única página localizada dentro del dominio .......9. La página web parece funcionar únicamente a modo de lanzadera a servicios de la segunda página. 7.2. En la página principal del sitio web figura un enlace a la página de condiciones legales7 del mismo que lleva a la página de condiciones legales del sitio web, www........2 en la que se identifica al RESPONSABLE como titular. 7.3. No se ha localizado en el sitio web ningún formulario que recoja datos de carácter personal. 7.4. Al acceder al página web no se ha descargado ningún dispositivo de almacenamiento y recuperación de datos . 8. www........12 7 www............../condiciones-legales/0/ccum C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/36 8.1. El sitio web proporciona servicios de chat para adultos a través de webcam y la posibilidad de trabajar como modelo en ese tipo de servicios. 8.2. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 8 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. 8.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen trabajar como modelos en el sitio web. Los datos recabados son: nombre y apellidos, nombre artístico, edad, ciudad, correo electrónico, teléfono, sitio web, mensaje y fotografías. Excepto el teléfono y el sitio web todos los datos son obligatorios.  Formulario que recoge los datos de las personas que deseen enviar comentarios sobre alguna de las modelos del sitio web. Los datos recabados son: nombre, correo electrónico, sitio web y comentario. El nombre y el correo electrónico son obligatorios  Formulario de contacto con el sitio web. Los datos recabados son: nombre y apellido, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios  El sitio web dispone de un servicio de videochat que es de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 8.4. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 8.5. Al acceder al sitio web se han descargados un total de 2 dispositivos de almacenamiento y recuperación de datos. Dominio Nombre Primera Tercera parte .......12 _ga Tercera .......12 _gat Tercera Caducidad Persistente Persistente 8 www................/condiciones-legales/0/mmodelo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/36 Las dos cookies descargadas son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. 9. www........15 9.1. El sitio web es la página profesional de la actriz F.F.F. , en la que se publican contenidos para adultos y se proporciona un servicio de chat a través de webcam con la citada actriz. 9.2. En la página principal del sitio web figura un enlace a la página de condiciones legales del mismo en la que se identifica al RESPONSABLE como titular del mismo. En la página de condiciones legales enlazada en el sitio web 9 no se ha localizado mención alguna al responsable del fichero en el que se incluirán los datos recogidos en el sitio web, la finalidad de la recogida o los derechos que asisten a los titulares y la forma de ejercerlos. 9.3. El sitio web dispone de formularios en los que se recaban datos de carácter personal y que se describen a continuación:  Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web. Los datos recabados son: nombre, correo electrónico, sitio web y comentario. El nombre y el correo electrónico son obligatorios.  Formulario de contacto con el sitio web. Los datos recabados son: nombre, correo electrónico, teléfono, sitio web y mensaje. Excepto el teléfono y el sitio web todos los datos son obligatorios.  El sitio web dispone de un servicio de videochat que es de pago. Los medios de pago disponibles son: “Acceso tarjeta”, “Acceso telefónico”, “Pago por móvil” y “Pago SMS”. En el caso de “Acceso tarjeta” se exige la creación de una cuenta para lo cual se solicita una dirección de correo electrónico y una clave. En el caso de “Pago por móvil” se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. 9.4. No se ha localizado ninguna información relativa al uso de DARD en el sitio web. 9.5. Al acceder al sitio web se han descargados un total de 6 dispositivos de almacenamiento y recuperación de datos. Dominio Nombre Primera Tercera parte .......15 _utma Tercera .......15 _utmb Tercera Caducidad Persistente Persistente 9 www......../condiciones-legales/0 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/36 .......15 _utmc Tercera Sesión .......15 _utmt Tercera Persistente .......15 _utmz Tercera Persistente Tercera Persistente ***DOMINIO.1 Las cookies denominadas _utma, _utmb, _utmc, _utmt y _utmz son utilizadas por el servicio Google Analytics, proporcionado por Google Inc., que analiza la navegación de los visitantes del sitio web y proporciona estadísticas de uso del sitio a su titular. El dispositivo asociado al dominio ***DOMINIO.1 es de tipo “Flash cookie” y se descarga después de reproducir algunos de los videos alojados en la página web. TERCERO: En fecha de 27 de febrero de 2015 se acordó iniciar procedimiento sancionador a Don A.A.A. por la presunta infracción de los artículos 5, y 26 de la LOPD, tipificadas como leves en los artículos 44.2.

1. c)y 44.2.
2. b)de la citada Ley Orgánica y por la presunta infracción del artículo 22.2, de la LSSI, tipificada como leve en el artículo 38.4.
3. g)de la citada LSSI. CUARTO: El intento de notificación mediante correo certificado de dicho acuerdo de inicio al denunciado resultó infructuoso por “Ausente en Reparto”, con fecha 5 de marzo de 2015, y por “Desconocido”, con fecha 9 de marzo de 2015, siendo devuelto por el Servicio de Correos. Dicho Acuerdo de Inicio se publicó en el BOE número 86, de fecha 10 de abril de 2015, así como mediante Edicto expuesto en el Tablón de Edictos del Ayuntamiento de Barcelona entre el 31 de marzo y el 20 de abril de 2015. QUINTO: Con fecha 21 de julio de 2015 se constata que en el Registro General de Protección de Datos de esta Agencia no figura ningún fichero inscrito a nombre de Don A.A.A. , comprobándose con fecha 22 de julio de 2015 que no figura ningún fichero registrado bajo la titularidad de Wamcash SL. Con fecha 22 de julio de 2015 se constata que en el titular de los sitios web www........7 , www........6, www........5, www........3, www........15 , www........12, www........2 no informa a los usuarios a los que se solicitan datos personales a través de los formularios disponibles en los mismos sobre los extremos contemplados en el artículo 5.1 de la LOPD. SEXTO: Con fecha 24 de julio de 2015 la Instructora del procedimiento ,desde un navegador Google Chrome, visita las páginas web www........7 , www........6, www........5, www........3, www........15 , www........12, www........2 , www........1 a los efectos de verificar si el titular de las mismas ha introducido algún tipo de información relativa al uso de los dispositivos de almacenamiento y recuperación de datos en las mismas , comprobándose que continúan descargándose las mismas cookies que se detectaron durante las actuaciones previas de inspección E/03358/2014. SÉPTIMO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/36 resolución, por lo que procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Consta que D. A.A.A. es titular o administrador, entre otros, de los siguientes sitios web: (folios 180, 194 al 196, 199 y 200, 211, 212, 228 y 229, 247 al 251, 260 al 263, 266, 266 al 268,283, 288 al 290, 307) www........1; www........3; www........2; www........5; www........6; www........7; www........12; www........15. Todos los sitios web citados, a excepción del portal www........1, ofrecen servicios de ocio para adultos. SEGUNDO: Mediante consultas realizadas en el Registro General de Protección de Datos, con fechas 26 de agosto de 2014 y 4 de febrero y 21 de julio de 2015 ,se comprueba que no consta ningún fichero inscrito bajo la titularidad de A.A.A., con NIF ***NIF.1. (folios 170 al 172 y 324 al 326, 428 y 429) TERCERO: Con fecha 3 de febrero de 2015 se constata que el sitio web www........3 se recaban datos de carácter personal a través de los siguientes formularios: (folios 252 al 255) - Formulario que recoge los datos de las personas que deseen publicar anuncios en el sitio web. Los datos recabados son: categoría (webcams y escorts), ciudad, correo electrónico, teléfono, sitio web, etiquetas, título del anuncio, descripción corta, cuerpo del anuncio y fotografías. - Formulario de contacto con el sitio web, en el que se recaban: nombre, correo electrónico, teléfono, sitio web y mensaje. Se comprueba que en el documento de “Confidencialidad y Protección de Datos” sitio web www........3 aparece la siguiente información: (folios 249 al 251) del “La presente Política de Protección de Datos describe el trato que dispensamos a los datos de carácter personal aportados por nuestros usuarios. Nosotros recogemos, almacenamos en ficheros, utilizamos y compartimos estos daos de carácter personal con la finalidad de facilitar el funcionamiento de la web eroXmania. A.A.A. (C/.......1) Barcelona (SPAIN) Actuando en su propio nombre o a través de sus filiales es el “Responsable del acuerdo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/36 (…) Uso de la web. Nosotros utilizamos los datos de carácter personal de nuestros usuarios para: . Prestar nuestros servicios . Resolver controversias, cobrar tarifas y resolver problemas técnicos . Fomentar el comercio seguro y hacer valer nuestras políticas . Personalizar la experiencia de los usuarios, mejorar nuestros servicios, medir su interés por nuestros servicios e informarles de nuestros servicios y novedades . Comunicar ofertas promocionales . Desarrollar otras actividades dirigidas a los usuarios, descritas en el momento de recoger la información. (…) Comunicaciones y Email. El usuario consiente recibir nuestras comunicaciones comerciales en su correo electrónico o por cualquier otro medio análogo, salvo que nos comunique que prefiere no recibir dichas comunicaciones. En caso de que no quiera recibir comunicaciones comerciales simplemente deberá seguir las instrucciones que se proporcionan en cada comunicación. (…) Acceso, Rectificar, Cancelar. El usuario puede acceder, rectificar o cancelar la mayoría de sus datos de carácter personal. Para revisar cualquier dato personal que no pueda consultarse en eroXmania, puede comunicarse al E-mail info@.......3 (rogamos al usuario que subsane cualquier incorrección en sus datos). Nosotros cancelamos los datos de carácter personal cuando ya no se necesita para los fines descritos anteriormente. Conservamos la información personal que permite la ley para resolver litigios, hacer valer nuestras políticas e impedir que usuarios malintencionados accedan a la web.”. CUARTO: Con fecha 3 de febrero de 2015 se constata que el sitio web www........6 se recaban datos de carácter personal a través de los siguientes formularios: (folios 210 al 224) - Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web, y de los que recaba nombre, correo electrónico, sitio web y comentario. - Formulario de contacto con el sitio web, en el que se recaban: nombre, correo electrónico, teléfono, sitio web y mensaje. - Formulario para crear una cuenta para el pago del servicio de videochat mediante “Acceso tarjeta”, en el que se solicita una dirección de correo electrónico y una clave. - Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. QUINTO: Con fecha 3 de febrero de 2015 se constata que el sitio web www........7 se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/36 recaban datos de carácter personal a través de los siguientes formularios: (folios 198 al 208) - Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web, y de los que recaba nombre, correo electrónico, sitio web y comentario. - Formulario de contacto con el sitio web, en el que se recaban: nombre, correo electrónico, teléfono, sitio web y mensaje. - Formulario para crear una cuenta para el pago del servicio de videochat mediante “Acceso tarjeta”, en el que se solicita una dirección de correo electrónico y una clave. - Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. SEXTO: Con fecha 3 de febrero de 2015 se constata que el sitio web www........5 se recaban datos de carácter personal a través de los siguientes formularios: (folios 231 AL240) - Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web, y de los que recaba nombre, correo electrónico, sitio web y comentario. - Formulario de contacto con el sitio web, en el que se recaban: nombre, correo electrónico, teléfono, sitio web y mensaje. - Formulario para crear una cuenta para el pago del servicio de videochat mediante “Acceso tarjeta”, en el que se solicita una dirección de correo electrónico y una clave. - Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. SÉPTIMO: Con fecha 4 de febrero de 2015 se constata que el sitio web www........12 se recaban datos de carácter personal a través de los siguientes formularios: (folios 292 al 3028) - Formulario que recoge los datos de las personas que deseen trabajar como modelos en el sitio web, y de las que recaba nombre y apellidos, nombre artístico, edad, ciudad, correo electrónico, teléfono, sitio web, mensaje y fotografías - Formulario que recoge los datos de las personas que deseen enviar comentarios sobre alguna de las modelos del sitio web, y de las que se recaban: nombre, correo electrónico, sitio web y comentario. - Formulario de contacto con el sitio web, en el que se recaban: nombre y apellido, correo electrónico, teléfono, sitio web y mensaje. - Formulario para crear una cuenta para el pago del servicio de videochat C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/36 mediante “Acceso tarjeta”, en el que se electrónico y una clave. - solicita una dirección de correo Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. OCTAVO: Con fecha 4 de febrero de 2015 se constata que el sitio web www........15 se recaban datos de carácter personal a través de los siguientes formularios: (folios 269 al 278) - Formulario que recoge los datos de las personas que deseen comentar una de las publicaciones del sitio web, y de los que recaba nombre, correo electrónico, sitio web y comentario. - Formulario de contacto con el sitio web, en el que se recaban: nombre, correo electrónico, teléfono, sitio web y mensaje. - Formulario para crear una cuenta para el pago del servicio de videochat mediante “Acceso tarjeta”, en el que se solicita una dirección de correo electrónico y una clave. - Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. NOVENO: Con fecha 4 de febrero de 2015 se constata que en el sitio web web www........2 se recaban datos de carácter personal a través de los siguientes formularios: (folios 308 al 315) - Formulario que recoge los datos de las personas que deseen trabajar como modelos en el sitio web, y de las que recaban: nombre y apellidos, nombre artístico, edad, ciudad, correo electrónico, teléfono, sitio web, mensaje y fotografías. -Formulario de contacto con el sitio web, en el que se recaban: nombre y apellidos, correo electrónico, teléfono, sitio web y mensaje - Formulario para crear una cuenta para el pago del servicio de videochat mediante “Acceso tarjeta”, en el que se solicita al usuario una dirección de correo electrónico y una clave. - Formulario para el “Pago por móvil” del servicio de videochat, en el que se requiere al usuario que proporcione una dirección de correo electrónico, una clave y un número de teléfono móvil. DÉCIMO: A raíz de los accesos realizados con fechas 3 y 4 de febrero de 2015 y 22 de julio de 2015 se constata que los sitios web www........7 , www........6, www........5, www........15, www........12, www........2 y www........3 en los que se recogen los datos personales reseñados en los anteriores Hechos Probados a través de los formularios citados en los mismos, no se facilita la información previa , expresa, precisa e inequívoca que el artículo 5.1 de la LOPD establece debe prestarse a los interesados a los que se solicitan datos personales. (folios 432 al 454) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/36 El documento de “Confidencialidad y Protección de Datos” del sitio web www........3 no proporciona información sobre la totalidad de los extremos contemplados en el artículo 5.1 de la LOPD y no resulta directamente accesible desde cada uno de los formularios ( folios 249 al 251 y 440 al 444). DÉCIMOPRIMERO: Con fecha 4 de febrero de 2015, al realizar una búsqueda a través del buscador Google utilizando como criterio la palabra “derechos” en el dominio .......2, se localizó un enlace que llevaba a la página http://www........2/........., en la que aparecía la siguiente información relativa a los derechos ARCO en el documento “Aviso legal de www........2 “: (folios 281 al 283) “3. –POLÍTICA DE PRIVACIDAD DE LOS DATOS La mercantil EL PROPIETARIO, cumple con la legislación sobre protección de datos de carácter personal, Ley Orgánica 15/1999 de 13 de diciembre, y su reglamento de desarrollo RD. 1720/2007 de 21 diciembre. De acuerdo con lo dispuesto en la normativa vigente, EL PROPIETARIO, solo recoge los datos estrictamente necesarios para ofrecer los servicios derivados y ofertados en esta comunidad de www........2, habiendo creado un fichero llamado CLIENTES para este efecto y habiéndolo dado de alta en el Registro General de la Agencia Española de Protección de Datos a nombre de Wamcash SL. Los usuarios en cumplimiento de la Legislación Vigente en la materia, pueden solicitar los derechos de Acceso, Cancelación, Oposición y Rectificación, conforme a los procedimientos que el reglamento RD 1720/2007 enviando al Responsable de seguridad dicha solicitud. CESIONES DE DATOS Asimismo, y salvo que se haya informado al Usuario de la posible existencia de cesiones de sus datos a terceros, y se haya recabado su consentimiento a las mismas, en ningún caso, salvo los casos amparados por la legislación vigente, ningún tercero ajeno a EL PROPIETARIO tendrá acceso, sin el consentimiento expreso de los Usuarios, a sus datos personales y/o de navegación. En el resto de casos EL PROPIETARIO colaborará para que los terceros cumplan con la legislación vigente, si bien la responsabilidad será exigible a los citados terceros. El PROPIETARIO no vende , alquila o cede los datos personales de los usuarios de la Comunidad, a excepción del caso que sea necesario para la propia prestación del servicio, como en el caso de la realización de pagos, que lo hace para la propia prestación del servicio con la plataforma de pago www.wamcash.com, teniendo esta plataforma sus propias condiciones de privacidad con sus datos , y cediendo únicamente EL PROPIETARIO, los daos de USUARIO Y PASSWORD, que Vd. ha elegido en www........2. EL PROPIETARIO no vende, alquila o cede los e-mails de sus usuarios a otras empresas, a excepción del caso que sea necesario para la propia prestación del servicio.” (folios 283 y 284) En dicho documento EL PROPIETARIO aparecía identificado como A.A.A. con DNI ***NIF.1 y domicilio (C/......1) de Barcelona. (folio 283) Desde el sitio web analizado www........2/condiciones-legales......... no se encontró un acceso directo a la página http://www........2/........., situación que persiste a fecha 22 de julio de 2015. Mediante consulta realizada en el Registro General de Protección de Datos, con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/36 22 de julio de 2015, se verifica que no consta ningún fichero inscrito bajo la titularidad de Wamcash SL. (folio 430) DECIMOSEGUNDO: Con fecha 3 de febrero de 2015 se accede al sitio web www........3 constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos (cookies) del servicio de Google Analytics, proporcionado por Google Inc, (folios 258 y 259) Dominio Nombre Primera Tercera parte Caducidad .......3 _utma Tercera .......3 _utmb Tercera Persistente Persistente .......3 _utmc Tercera Sesión .......3 _utmt Tercera Persistente .......3 _utmz Tercera Persistente En el mencionado sitio web la única información sobre el uso de cookies está incluida en el apartado de “Confidencialidad y Protección de Datos” del documento “Condiciones del Servicio”, al que se accede a través del enlace del mismo nombre situado al pie de la página principal, cuando al describir los datos de carácter personal recogidos señala que entre ellos se encuentran “Datos de registro informático, estadísticas sobre las visitas a las páginas, el tráfico procedente y dirigido a eroXmania y datos publicitarios (todo ello a través de "cookies" - en todo momento, tiene la facultad de impedir el funcionamiento de nuestras "cookies" a través de su navegador, aunque esto puede afectar al uso de ciertas funcionalidades de la página web).” (folios 249 y 250) DECIMOTERCERO: Con fecha 3 de febrero de 2015 se accede al sitio web www........5 constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos del servicio de Google Analytics, proporcionado por Google Inc, (folio 241) Dominio Nombre Primera Tercera parte Caducidad .......5 _utma Tercera .......5 _utmb Tercera Persistente Persistente .......5 _utmc Tercera Sesión .......5 _utmt Tercera Persistente .......5 _utmz Tercera Persistente En el mencionado sitio web no se localiza ninguna información relativa al uso y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/36 finalidades de dichos dispositivos. DECIMOCUARTO:: Con fecha 3 de febrero de 2015 accede al sitio web www........6 constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos, siendo cookies del servicio de Google Analytics, proporcionado por Google Inc, los cuatro primeros y del tipo “Flash cookie” el quinto (folios 225 y 226) Dominio Nombre Primera Tercera parte Caducidad .......6 _utma Tercera .......6 _utmb Tercera Persistente Persistente .......6 _utmc Tercera Sesión .......6 _utmt Tercera Persistente .......6 _utmz Tercera Persistente Tercera Persistente ***DOMINIO.1 En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de las cookies instaladas. DECIMOQUINTO: Con fecha 3 de febrero de 2015 accede al sitio web www........7, constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos del servicio de Google Analytics, proporcionado por Google Inc (folio 209) Dominio Nombre Primera Tercera parte Caducidad .......7 _utma Tercera .......7 _utmb Tercera Persistente Persistente .......7 _utmc Tercera Sesión .......7 _utmt Tercera Persistente .......7 _utmz Tercera Persistente En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de los DARD instalados. DECIMOSEXTO: Con fecha 4 de febrero de 2015 accede al sitio web www........12, constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos del servicio de Google Analytics, proporcionado por Google Inc (folio 303) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/36 Dominio Nombre Primera Tercera parte .......12 _ga Tercera .......12 _gat Tercera Caducidad Persistente Persistente En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de los dispotivos instalados DECIMOSÉPTIMO: Con fecha 4 de febrero de 2015 se accede al sitio web www........1 constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos del servicio de Google Analytics, proporcionado por Google Inc, (folio 264) Dominio Nombre Primera - Tercera parte Caducidad .......1 _utma Tercera .......1 _utmb Tercera Persistente Persistente .......1 _utmc Tercera Sesión .......1 _utmt Tercera Persistente .......1 _utmz Tercera Persistente En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de las cookies descargadas. DECIMOCTAVO: Con fecha 4 de febrero de 2015 accede al sitio web www........15, constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos, siendo DARD del servicio de Google Analytics, proporcionado por Google Inc, los cinco primeros y del tipo “Flash cookie” el sexto (folios 279 y 280) Dominio Nombre Primera Tercera parte Caducidad .......15 _utma Tercera .......15 _utmb Tercera Persistente Persistente .......15 _utmc Tercera Sesión .......15 _utmt Tercera Persistente .......15 _utmz Tercera Persistente Tercera Persistente ***DOMINIO.1 En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de las cookies instaladas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/36 DECIMONOVENO: Con fecha 4 de febrero de 2015 se accede al sitio web www........2 constatándose la instalación de los siguientes dispositivos de almacenamiento y recuperación de datos del servicio de Google Analytics, proporcionado por Google Inc, (folios 316 al 318) Dominio Nombre Primera Tercera parte Caducidad .......2 _utma Tercera .......2 _utmb Tercera Persistente Persistente .......2 _utmc Tercera Sesión .......2 _utmt Tercera Persistente .......2 _utmz Tercera Persistente En el mencionado sitio web no se localiza ninguna información relativa al uso y finalidades de las cookies instaladas. VIGESIMO: Con fechas 22 y 24 de julio de 2015 se accede a los sitios web www........7, www........6, www........5, www........15, www........12, www........2 y www........1 comprobándose que en los mismos no aparece ninguna información relativa al uso y finalidades de las de cookies analíticas no exentas de tercera parte que continúan descargándose en los navegadores de los usuarios que los visitan. En cuanto al sitio web www........3 se constata que la única información sobre cookies que se ofrece en el mismo es la que aparece en el apartado de “Confidencialidad y Protección de Datos” del documento “Condiciones del Servicio” transcrita en el Decimosegundo Hecho Probado de esta resolución. (folios 427 al 480) VIGESIMOPRIMERO: A través de los accesos efectuados con fecha 24 de julio de 2015 mediante un navegador Google Chrome se verifica que las cookies analíticas que se descargan en cada una de las reseñadas páginas web son las mismas que aparecen indicadas en los anteriores Hechos Probados Decimosegundo al Decimonoveno. (folios 481al 496 ) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD y el párrafo segundo del artículo 43.1 de la LSSI. II De conformidad con lo dispuesto en el artículo 2 de la LOPD dicha norma “será de aplicación a los datos de carácter personal registrados en soporte físico que los haga C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/36 susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
5. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. A su vez, el artículo 3 de la LOPD, en su apartado c), define como tratamiento de datos, las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Conforme al artículo 3.
6. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso, Don A.A.A. resulta responsable del tratamiento automatizado de datos personales con origen en la recogida, conservación y utilización por su parte de los datos personales facilitados por los usuarios que cumplimentan los diferentes formularios contenidos en las páginas web que aparecen señaladas en los Hechos Probados números Tercero al Noveno, y de las que éste es titular . Por lo tanto, la realización de dichos tratamientos de datos de carácter personal coloca al citado RESPONSABLE, en tanto que ha decido sobre la finalidad, contenido y uso de los datos de carácter personal recabados en dichos formularios, en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. III El primer hecho probado que se imputa a Don A.A.A. es la falta de inscripción de ficheros. El artículo 26 de la LOPD, dispone lo siguiente: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que deba contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/36 inscrito el fichero automatizado a todos los efectos”. También se refiere Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) en el TÍTULO V. Obligaciones previas al tratamiento de los datos, especificando en su CAPÍTULO II. Notificación e inscripción de los ficheros de titularidad pública o privada, artículo 55.2: “Notificación de ficheros”. “Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.” En las presentes actuaciones, ha quedado acreditado que el RESPONSABLE de las páginas web www........7 , www........6, www........5, www........3, www........15 , www........12, www........2 no ha inscrito fichero alguno bajo su titularidad, a pesar de que recaba y trata automatizadamente los datos personales de los clientes y usuarios que cumplimentan los formularios contenidos en dichos portales. IV El artículo 44.2.
7. b)de la LOPD, califica como infracción leve: “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos” A la vista de que no consta inscrito en el Registro General de Ficheros de la Agencia Española de Protección de Datos ningún fichero bajo la titularidad de Don A.A.A., se considera al mismo responsable de la comisión de la infracción del artículo 26 de la LOPD, la cual encuentra su tipificación en lo dispuesto en el artículo 44.2.
8. b)de la LOPD. V La segunda infracción imputada a Don A.A.A. es la vulneración del derecho de información previa de los clientes y usuarios que, al objeto de obtener la prestación de los servicios contratados o solicitados y/o contactar con los sitios web, registran sus datos personales en los formularios contenidos en las páginas web titularidad del imputado. Los apartados 1, 2 y 3 del artículo 5 de la LOPD, establecen en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
9. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/36
10. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
11. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
12. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
13. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
14. c)y
15. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban…” Dicho precepto, por tanto, fija el momento en que se ha de informar a los interesados a los que se recaben datos personales y el contenido de dicha información. La obligación que impone este artículo 5.1 es, por tanto, la de informar a los afectados de los reseñados extremos, pues sólo así queda garantizado el derecho de los mismos a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Dicha información debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 5.2 de la LOPD establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo anteriormente señalado Don A.A.A. debe proporcionar de forma expresa, precisa e inequívoca a los afectados a los que requiere datos personales a través de la información existente en las páginas web de las que es responsable, en el momento de acceder a sus servicios, la información a la que se refiere el artículo 5.1 de la LOPD, y lo debe hacer previamente a la solicitud de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/36 mismos. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo que las mismas sean “determinadas, explícitas y legítimas”. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este mismo sentido se ha pronunciado también la Audiencia Nacional en su Sentencia de 15 de junio de 2001, Recurso nº 158/2000, al señalar que se trata de un “derecho importantísimo porque es el que permite llevar a cabo el ejercicio de otros derechos, y así lo valora el texto positivo al pormenorizar su contenido, y establecer la exigencia de que el mismo sea expreso, preciso e inequívoco.” Es decir, la exigencia de la información requerida en el artículo 5.1 y 2 de la LOPD constituye un derecho del afectado que es objeto de protección por sí mismo, y además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce, como el de la prestación del consentimiento. De lo expuesto cabe concluir que la vigente normativa de protección de datos ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. VI En este caso, a través de las actuaciones efectuadas en la tramitación del procedimiento sancionador, se ha constatado que Don A.A.A. incumplía el deber de información previa que establece el artículo 5.1 y 2 de la LOPD, toda vez que recogía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/36 datos personales de los interesados a través de los formularios habilitados en siete sitios web de su titularidad sin facilitar a los afectados la información en materia de protección de datos que se advierte en dicho precepto. En lo relativo a los sitios web www........7 , www........6, www........5, www........15, www........12, www........2 se ha constatado que en los mismos no aparecía ningún tipo de información relativa a la identidad y dirección del responsable de los ficheros en los que se incluyen los datos de carácter personal obtenidos en la forma anteriormente indicada, ni a las finalidades del tratamiento de dichos datos ni sobre el procedimiento para ejercer los derechos de acceso, rectificación, cancelación y oposición (en adelante ARCO). En lo que respecta a la información que aparece en el documento de “Confidencialidad y Protección de Datos” del sitio web www........3 se cláusula informativa que no resulta directamente accesible desde las páginas en las que se incluyen los dos formularios contenidos en dicho portal. Tampoco proporciona información sobre la totalidad de los extremos contemplados en el artículo 5.1 de la LOPD, ya que no se asocia claramente la información facilitada sobre el imputado con su identidad y dirección en tanto que responsable del tratamiento, ni abarca el conjunto de los derechos ARCO al no recoger el derecho de oposición. A mayor abundamiento, a la vista de que una de las finalidades para las que se utilizan los datos de carácter personal recogidos a través de esos dos formularios, (entre ellos, nombre, correo electrónico y teléfono), es para comunicar ofertas promocionales, resulta que no se informa sobre los sectores específicos y concretos de actividad respecto de los que se podrá recibir información o publicidad, tal y como requiere en el artículo 45.1.
16. b)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, (en adelante RDLOPD), que afecta a la información que se ha de facilitar a los afectados cuando los datos facilitados se utilizan para el envío de publicidad y tiene el siguiente tenor literal: “Datos susceptibles de tratamiento e información al interesado 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
17. a)(…)
18. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad. “ En este sentido, la Sentencia de la Audiencia Nacional de fecha 30 de enero de 2013 especificaba que “la resolución impugnada considera que no se especifican las finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial y no se informa sobre los sectores específicos y concretos sobre los que podrá recibir información o publicidad comercial, vulnerando lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/36 dispuesto en el art. 45 del Reglamento de desarrollo de la LOPD.” Paralelamente, señalar que, en este punto y dado que no se hace referencia a si la publicidad estará o no vinculada a los servicios que puedan ser objeto de contratación por los usuarios, es necesario hacer referencia a lo dispuesto en el artículo 15 del RD 1720/2007, el cual establece: “Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” De producirse la circunstancia señalada en dicho precepto del RDLOPD sería necesario ofrecer a los usuarios la posibilidad de mostrar la negativa al envío de esta publicidad en el momento en que se efectúa la contratación, resultando adecuado para ello la habilitación de una casilla sin marcar o un enlace que permitan ejercer esta opción. La misma Sentencia citada anteriormente señalaba, en relación con esta cuestión, que: “no basta con informar (…) de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el art. 15 del RD 1720/2007, en relación con el deber de información en la recogida de datos regulado en el citado art. 5.1 LOPD. Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante.” Finalmente, como en el apartado de Comunicaciones y Email del documento de “Confidencialidad y Protección de Datos” del sitio web www........3 se prevé la posibilidad de enviar comunicaciones comerciales por correo electrónico o por cualquier otro medio análogo, precisar que la legislación aplicable a este tipo de envíos es la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Esta cuestión se encuentra regulada en el artículo 21 de dicha norma, referido a la “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes”, el cual establece 1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/36 comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Asimismo, el art. 22.1 de la misma Ley, referido a los “Derechos de los destinatarios de servicios” establece: 1. El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos. En este caso, aunque se contempla la posibilidad de enviar comunicaciones comerciales por medios electrónicos, sin embargo no se recoge la posibilidad de que los destinatarios puedan mostrar su negativa a la recepción de este tipo de envíos publicitarios en el momento de la recogida de los datos, limitándose a señalar que para oponerse a recibir comunicaciones comerciales deberá seguir las instrucciones que se proporcionan en cada comunicación, es decir, se facilitará el medio de oposición una vez recibida la comunicación comercial, sin proporcionar en el documento de política de privacidad un mecanismo de baja para el caso de los SMS o una dirección de correo electrónico u otra dirección electrónica válida para el caso de los correos electrónicos a las que poder dirigirse con esa finalidad. En consecuencia, se aprecia que el imputado no ha dado cumplimiento a las exigencias derivadas del deber de información contemplado en el artículo 5.1 y 2 de la LOPD al no incluir una cláusula informativa accesible desde los formularios contenidos en las páginas web de su titularidad que permita a los usuarios ser informados, con anterioridad a la recogida de los datos, de las advertencias recogidas en el artículo 5.1 de la LOPD y mostrar, en su caso, su negativa al tratamiento publicitario de sus datos en función del uso y finalidades dadas a la información recabada y los medios utilizados para la remisión de la publicidad, tal y como se ha indicado para el caso de la página www........3 en su relación con la normativa aplicable a dicho supuesto . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/36 VII En este supuesto, ha quedado acreditado que Don A.A.A. recoge datos personales de los afectados a través de los formularios insertados en las siete páginas web de las que es responsable sin ofrecerles, previamente y en forma claramente legible, la información exigida en el artículo 5.1 y 2 de la LOPD. El artículo 44.2.
19. c)de la LOPD considera infracción leve: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. VIII En relación con las dos infracciones anteriormente descritas, descritas como leves en los artículos 44.2.
20. b)y 44.2.
21. c)de la LOP hay que señalar que el artículo 45 de la LOPD, establece, en sus apartados 1, 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
22. a)El carácter continuado de la infracción.
23. b)El volumen de los tratamientos efectuados.
24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
25. d)El volumen de negocio o actividad del infractor.
26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. f)El grado de intencionalidad.
28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se estima en lo que respecta a las dos infracciones descritas, que si bien no ha existido intencionalidad en la conducta del imputado, sin embargo si ha mostrado una falta absoluta de diligencia en orden a regularizar la inscripción de los ficheros resultantes del tratamiento analizado y habilitar una cláusula informativa de protección de datos junto a los formularios que recoja las advertencias a las que se refiere el artículo 5.1 de la LOPD, manteniéndose la situación irregular analizada como mínimo, según se desprende de lo actuado, desde la fecha de las primeras actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/36 inspectoras en registradas en esta Agencia en febrero de 2015 hasta la actualidad. Asimismo, los incumplimientos detectados afectan a un elevado volumen de datos personales, conforme se desprende de los diferentes tipos de datos recabados a los afectados según el formulario que se trate y en atención al número de páginas web afectadas, que ascienden a siete. Paralelamente, se considera que operan como circunstancias atenuantes, también para ambas infracciones a la LOPD, tanto la falta de constancia de que la comisión de las mismas haya dado lugar a la obtención de beneficios al imputado o, en su caso, haya podido generar perjuicios a interesados o terceras personas, valorándose también la inexistencia de reincidencia por la comisión de infracciones de la misma naturaleza. Por todo lo cual, y conforme a lo previsto en artículo 45.4 de la LOPD y 131 de la LRJ-PAC, se estima adecuado a la gravedad de los hechos imputados imponer a Don A.A.A. una multa de 1.500 euros por la infracción a lo previsto en el artículo 26.1 de la LOPD y otra multa de 5.000 euros por la infracción a lo previsto en el artículo 5.1 y 2 de la LOPD, teniéndose en consideración para fijar la cuantía de esta segunda sanción el hecho de que el incumplimiento del deber de información a los interesados afecta a los siete sitios web titularidad del imputado que se ha constatado contienen formularios de recogida de datos personales. IX La tercera y última infracción imputada a Don A.A.A. es la vulneración del artículo 22.2 LSSI, precepto que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. La protección que otorga el citado precepto tiene su justificación en la medida en que, en muchos casos, los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/36 por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establecen la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. Igualmente, conviene señalar que el citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. X Dicho precepto se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley que los delimita. Por un lado, tanto la rúbrica del artículo como el tenor literal del artículo hablan del destinatario, que según el apartado
32. d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Por otro lado, el Anexo de la LSSI define en su apartado
33. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
34. a)entiende “ todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/36 que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….) Conforme a las definiciones legales anteriores , se considera que Don A.A.A., en su condición de titular y responsable de los sitios web www........7, www........6, www........5, www........15, www........12, www........2 www........3 y www........1, ostenta la condición de Prestador de Servicios de la Sociedad de la Información, debiendo , en consecuencia, dar cumplimiento a las obligaciones previstas en el artículo 22.2 de la LSS para dicha figura , y en caso de incumplimiento de las mismas, sujeto al régimen sancionador previsto en dicha norma. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. XI No hay que olvidar que la normativa estudiada pretende que el usuario sea suficientemente informado, y en forma comprensible, sobre la utilización y finalidades de los dispositivos de almacenamiento y recuperación de datos almacenados en su equipo terminal como condición para entender válidamente otorgado el consentimiento para su instalación y uso. Para ello resulta esencial informar sobre los tipos de en cuyo caso se identificará al tercero, sus respectivas finalidades, alusión a las acciones concretas que supongan la obtención del consentimiento y expresión de los procedimientos de rechazo o bloqueo para su instalación. El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. Por tanto, cabe el suministro de tal información por grupos homogéneos de ambigüedad, aunque nada obsta a que dicha información se ofrezca respecto de cada una de las cookies descargadas En el presente supuesto, a través de la valoración conjunta del resultado de las actuaciones practicadas y el análisis de la documentación obrante en el expediente, ha quedado acreditado que desde los sitios web www........7, www........6, www........5, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/36 www........15, www........12, www........2, www........1 y www........3, titularidad de Don A.A.A., se instalan dispositivos de almacenamiento y recuperación de datos no exentos del deber de información en los terminales de los usuarios que acceden a dichos portales, lo que ocurre sin que éstos sean informados por el prestador de servicios de la sociedad de la información sobre esta circunstancia ni sobre las finalidades a las que se destina la información recuperada a través de las cookies no exentas descargadas, faltando cualquier tipo de información en los siete primeros portales citados y no siendo clara y completa en la última web reseñada. La falta de información sobre el uso e instalación de cookies en los sitios web www........7, www........6, www........5, www........15, www........12, www........2 y www........1 viene produciéndose desde las primeras pruebas de acceso practicadas en el transcurso de las actuaciones previas de inspección, sin que se la mencionada situación irregular se haya subsanado en la actualidad. Tanto en los accesos efectuados con fechas 3 y 4 de febrero de 2015, correspondientes a las actuaciones previas de inspección, como durante el acceso realizado el día 24 de julio de 2015, durante el curso de la instrucción del procedimiento, se constató que, bajo la denominación de los dominios correspondientes a cada uno de los siete sitios web de referencia, se instalaban permiten a Google Inc. analizar los hábitos de navegación de los visitantes de los citados sitios y elaborar con dicha información estadísticas de la actividad web de los usuarios que dicha entidad proporciona al titular de los citados portales web. En lo que respecta a la información sobre el uso de cookies que se proporciona en el sitio web www........3, octavo portal analizado mediante los accesos con fechas 3 de febrero y 24 de julio de 2015, de su análisis se desprende que presenta carencias informativas que suponen incumplir los requisitos contemplados en el artículo 22.2 de la LSSI, En primer lugar, la información contenida en el apartado de “Confidencialidad y Protección de Datos” del documento “Condiciones del Servicio” del sitio web www........3 ((hecho probado Decimosegundo) no se considera previa, en tanto que dicho enlace aparece ubicado al pie de la página principal, por lo que, a pesar de que se instalan acceder al portal y, además, la descripción del citado enlace no identifica su contenido con información sobre cookies. De hecho, la adecuación a la normativa vigente hace necesario, con independencia del sistema de información elegido, la existencia de un enlace de carácter permanente que permita acceder directamente y en cualquier momento a la información sobre cookies de la entidad. En segundo lugar, no puede calificarse de clara ni completa, en especial en cuanto a las finalidades a las que obedece su instalación, ya que aunque aparece que se usan cookies con finalidades estadísticas y publicitarias, sin embargo no aclara que dichas estadísticas tienen por finalidad permitir un seguimiento de la actividad de los usuarios en el sitio web. A mayor abundamiento, no describe la tipología concreta de los dispositivos utilizados (cookies analíticas de tercera parte de Gogle Inc.) ni ofrece información relativa al modo o acciones que permiten considerar otorgado el consentimiento de los usuarios para su uso e instalación, al igual que no facilita los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/36 mecanismos que permiten controlar o impedir la descarga de tales dispositivos. En lo que se refiere a las herramientas de rechazo o bloqueo, y dado el tipo de en la información ofrecida debería mencionarse el “Complemento de inhabilitación para navegadores de Google Analytics”, ya que a través de sus instrucciones pueden rechazarse las cookies analíticas de dicho servicio en todos los navegadores, localizable a través del enlace https:// tools.google.com/dlpage/gaoptout. En esta misma línea, y teniendo en cuenta que en los accesos efectuados en las actuaciones previas de investigación a los sitios web www........6 y www........15 se comprobó que, junto a las cookies analíticas ya citadas, se descargaron “Flash cookies”, se hace necesario advertir al imputado que el uso de estos dispositivos debe ir acompañado de información específica sobre las herramientas que permitan gestionarlos en cualquier navegador, ya que se trata de dispositivos persistentes sin plazo definido de caducidad que no todos los navegadores pueden mostrar o gestionar sin la instalación de un complemento específico, como por ejemplo, la herramienta dispuesta por Macromedia (responsable de la tecnología Flash) accesible en la URL www.macromedia.com........... Por todo lo cual, el imputado ha infringido lo dispuesto en el artículo 22.2 de la LSSI, pues no puede entenderse que la falta de información total o parcial que se ha observado sobre los extremos indicados en los ocho sitios web citados responda al mandato del citado precepto. XII En definitiva, Don A.A.A. ha incumplido lo dispuesto en el primer párrafo del artículo 22.2 de la LSSI, al haber quedado probado que se producen las circunstancias que tipifica el citado precepto, ya que la instalación de cookies de tercera parte no exentas en ocho páginas web su titularidad se viene produciendo vulnerando el derecho de los internautas a recibir información previa, clara y completa sobre el uso y finalidades de dichos dispositivos en su condición de destinatarios de los servicios de la información objeto de actividad económica del imputado. Esta conducta, encuentra su tipificación en la infracción leve prevista en el citado artículo 38.4.
35. g)de la LSSI, precepto que considera como infracción leve: ”
36. g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” XIII A tenor de lo establecido en el artículo 39.1.
37. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, el cual dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/36 siguientes criterios:
38. a)La existencia de intencionalidad.
39. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
40. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
41. d)La naturaleza y cuantía de los perjuicios causados.
42. e)Los beneficios obtenidos por la infracción.
43. f)Volumen de facturación a que afecte la infracción cometida”. A los efectos de la aplicación del principio de proporcionalidad en la graduación de las sanciones a imponer recogidos en el artículo 40 de la LSSI, se considera que en este caso actúa como circunstancia agravante el hecho de que, aunque no se ha constatado la existencia de intencionalidad en la conducta del imputado, sin embargo en su condición de prestador de servicios de la sociedad de la información ha mostrado una evidente falta de diligencia para proporcionar a los usuarios que visitan las ocho páginas web de su titularidad analizadas la información previa, clara y completa que el artículo 22.2 de la LSSI exige como requisito previo a la instalación de cookies en sus terminales y uso posterior de la información almacenada en los mismos. Asimismo, no consta que desde las pruebas de acceso realizadas desde las actuaciones previas de inspección efectuadas con fechas 3 y 4 de febrero de 2015 hasta la actualidad Don A.A.A. haya adoptado ninguna medida tendente a regularizar dicha situación. Por otra parte, operan como circunstancias atenuantes la falta de constancia de que el imputado haya obtenido beneficios a raíz de la infracción descrita, sin que tampoco de lo actuado se haya acreditado la existencia de facturación alguna que afecte a la infracción cometida. En consecuencia, en aplicación del principio de proporcionalidad recogido en el artículo 40 de la LSSI y 131 de la LRJ-PAC, procede imponer una sanción de 5.000 € al imputado, teniéndose en consideración para fijar esta cuantía el hecho de que la conducta infractora mostrada por éste viene referida a un total de ocho páginas web titularidad del imputado, según se ha podido comprobar en los distintos accesos efectuadas a las mismas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A., por una infracción del artículo 26.1 de la LOPD, tipificada como leve en el artículo 44.2.
44. b)de dicha norma, una multa de 1.500 € (mil quinientos euros) de conformidad con lo establecido en el artículo 45.1 y 2 de la citada Ley Orgánica. SEGUNDO: IMPONER a Don A.A.A., por una infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
45. c)de dicha norma, una multa de 5.000 € (Cinco mil euros) de conformidad con lo establecido en el artículo 45.1 y 2 de la citada Ley Orgánica. TERCERO: IMPONER a Don A.A.A., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
46. g)de dicha norma, una multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en los artículos 39.1.
47. c)y 40 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/36 la citada LSSI. CUARTO: NOTIFICAR la presente resolución a Don A.A.A. y a GENTE AMATEUR, S.L. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí La Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es