1/9 Procedimiento Nº: PS/00146/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00146/2020, instruido por la Agencia Española de Protección de Datos, a D. A.A.A., con NIF.: ***NIF.1, titular de la página web: ***URL.1 , (en adelante, “la persona reclamada”), por presunta infracción a infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 14/03/19, tuvo entrada en esta Agencia escrito, presentado por Dª. B.B.B., en nombre y representación de COLEGIO ***COLEGIO.1 -FOMENTO DE ENSEÑANZA MEDIA S.A -A28094969-, (en adelante, “la entidad reclamante”), en el que exponía, entre otras, lo siguiente: “La página web que se denuncia es ***URL.
- El motivo de la denuncia y puesta en conocimiento de dicha Web es el total ocultismo y falta de transparencia, tanto del titular y responsable de dicha Web como el incumplimiento de publicaciones contrarias a derecho, permitiendo, sin limitación alguna, incumpliendo las condiciones que internamente se establecen en la misma. El detonante por el cual se procede a denunciar dicha Web es que el COLEGIO ***COLEGIO.1, al cual represento, se ve totalmente perjudicado ante publicaciones, totalmente injuriosas y calumniosas, respecto a las cuales el supuesto administrador de la referida web permite que se publiquen y sean accesibles a todo el mundo sin filtración, siendo conocedor de todas ellas. El negocio de dicha Web está basado en contraprestaciones económicas, tanto para formar parte de dicha Web como para solicitar, entre comillas, extorsiones a aquellos colegios que no forman parte de su red, siendo refrendado este extremo al solicitar una contraprestación económica para el borrado de los comentarios, pudiendo observarse en el Foro como otros usuarios sufren las mismas consecuencias. Ante el conocimiento efectivo del administrador y responsable de dicha Web respecto a los hechos descritos y, principalmente, de comentarios que como se relacionarán a continuación son muy graves y perjudiciales, junto a la ocultación de información y transparencia como prestador de servicios de la sociedad de la información (PSSI), al margen de las actuaciones legales que estimemos oportunas en derecho en defensa de tal situación, pongo en conocimiento a través de la presente denuncia para que su organismo proceda a efectuar los trámites y actuaciones que estimen oportunas en defensa, no sólo de esta parte sino de otros perjudicados y usuarios, puesto que considera que los hechos son de tal gravedad que se ha de adoptar una decisión. Que dado que los últimos comentarios vertidos acerca del colegio ***COLEGIO.1 hacen referencia a delitos penales -abusos sexuales-, esta parte ha emitido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 requerimiento electrónico a un mail de contacto, el referido en el presente escrito: ***EMAIL.1, sin tener respuesta ni confirmación de lectura, provocando estos comentarios pérdida de reputación ante la indefensión de mi representado. Se inserta enlace al contenido y reproducción de dicho comentario. ***URL.2 Los hechos que se denuncian en relación a la normativa de privacidad son los siguientes: Incumplimiento del art. 5 del RGPD al no cumplirse con la obligación de información. Imposibilidad de identificación del responsable del tratamiento al no incluirse ningún texto en la Política de Privacidad de la Página Web. Incumplimiento de los artículos 21 y 22 de la LSSI al recabar cookies sin información. Las personas que componen el equipo del colegio ***COLEGIO.1, encuentran afectos sus derechos fundamentales al permitirse por el Administrador de la Página web denunciada que se viertan comentarios sin aplicar los términos y condiciones que en su web indican y, en este sentido se publican datos personales sin haberse cumplido previamente con el principio de licitud y veracidad. En este caso, los comentarios vertidos acerca del colegio ***COLEGIO.1 hacen referencia a abusos sexuales y también a menores de edad que pueden fácilmente identificarse, en este caso ver comentario de fecha ***FECHA.1 “XXXXX”. Que la presente página web también recaba datos personales a través del foro sin que se cumplan los preceptos anteriormente indicados”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 08/11/19 y 20/05/20, se realizan las siguientes actuaciones de investigación, con relación a la página web ***URL.1 denunciada, constatando en la misma lo siguiente: A).- Sobre la “Política de cookies” de la página web denunciada: 1º.- Al entrar en la web y, sin aceptar cookies ni realizar ninguna acción sobre la web, se cargan en el navegador las siguientes cookies persistentes: _ga, con finalidad rendimiento según ***URL.3 y asociada a Google Analytics; _gat, con finalidad rendimiento según ***URL.3 y asociada a Google Analytics y _gid, con finalidad rendimiento y asociada a Google Analytics. 2º.- En esta primera capa, aparece un banner sobre cookies, en la parte inferior de la página, con el siguiente mensaje: “Este sitio web usa cookies para asegurar una mejor experiencia del usuario” <<Más información>> - <<Aceptar>>. 3º.- En la segunda capa, accesible a través del link, “más información” se despliega una página donde sólo existe la siguiente nota: “POLÍTICA COOKIES: Google usa un usuario visita la web de un colaborador, se puede guardar una cookie en el navegaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 dor del usuario, pero nunca de manera intrusiva. Al navegar por nuestra página web, aceptas estos términos de uso”. B).- Sobre la “Política de Privacidad” de la página web denunciada: 1.- NO consta “Política de Privacidad” en la web, aunque sí aparece el enlace con dicho título, pero si se intenta cliquear en él solo produce la recarga de la página actual. C).- A través del link “Términos del Servicio”, se accede a una página donde aparece la siguiente información: “Opiniones de los Usuarios: En Busco Colegio nos importa tu opinión, te animamos a participar y comentar sobre los colegios que conoces. Como usuario del colegio pensamos que nadie lo conoce mejor que tú. Tu opinión es muy valiosa y puede ayudar a otros usuarios indecisos a elegir colegio. Por tanto, tu opinión debe cumplir unas ciertas reglas: • Tu comentario debe ser verídico, no puedes verter calumnias para manchar la imagen del colegio. •Tu comentario debe ser respetuoso, debes mantener las formas en todo momento, sin faltar el respeto al personal del centro ni a otros usuarios. •Debes justificar tu comentario, tanto si es positivo como negativo. •Se permiten críticas al colegio, que estén justificadas, sean constructivas y respetuosas. Todos los comentarios son moderados por los administradores de Busco Colegio y por los propios colegios. Si tu comentario no cumple estas reglas será eliminado. ***URL.1 es un buscador de colegios online. La idea principal es crear un directorio con datos de todos los colegios de España al servicio de los ciudadanos. En un primer lugar los datos se obtuvieron del Ministerio de Educación, pero pronto se comprobó que muchos de los datos de contacto (teléfono, fax, página web, email ...) o localización eran erróneos, obsoletos o habían cambiado. Por tanto, se decidió crear un módulo de gestión para que cada colegio pudiera gestionar toda la información que se muestra en nuestra página. El problema era avisar a los colegios de esta nueva funcionalidad, ya que algunos datos de contacto eran incorrectos. Finalmente, la solución que se adoptó implicaba una tarea muchísimo más grande: recopilar los datos de cada colegio directamente de su página web. Tarea que ni por asomo está terminada y que poco a poco vamos llevando a cabo. Pero en algunos casos nos resulta incluso imposible, pues hay muchos colegios que no tienen página web. Todos los resultados que ponemos a disposición de nuestros usuarios son fruto de un arduo trabajo que empezó en el 2012 y que difícilmente será completado. La recopilación de los datos de todos los colegios de España debería ser llevada a cabo por un organismo de carácter estatal, adscrito al Ministerio de Educación con el que los colegios no tuvieran más remedio que colaborar. Nosotros hemos encontrado colegios que han declinado nuestra oferta de cooperación, prefiriendo mantenerse al margen, inmersos en un oscurantismo nada propio de la era de las tecnologías de la información. Nosotros, en nuestra labor de ayudar a encontrar un buen colegio, desaconsejamos totalmente estos centros: no hay ningún motivo para no querer estar presentes en nuestra página, ellos mismos pueden gestionar toda la información que se muestra. Esta es la idea que sugerimos a este hipotético organismo del Ministerio de Educación: crear una plataforma que proporcione un espacio web básico para cada colegio, mostrando los datos más relevantes de cada colegio. No pensamos en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 sustitutivo de la página web de cada colegio, sino más bien una herramienta para indicar a los usuarios el camino correcto para ponerse en contacto con el colegio, en caso de estar interesados. A parte del buscador de colegios del Ministerio de Educación de ámbito nacional (toda España), cada comunidad autónoma tiene su propio buscador de centros educativos dependiente de la consejería de educación de la CCAA. En la mayoría de los casos, estos buscadores de ámbito CCAA presentan más información al público que el de ámbito nacional. Es destacable el gran trabajo que se ha hecho, el esfuerzo invertido es notable, suministrando datos muy interesantes. Pero no es menos cierto que da la sensación de que el trabajo estuviera duplicado, haciéndose patente una falta de organización entre ámbito nacional y autonómico. ***URL.1 ha aprovechado este gran trabajo y ha intentado completar la información que los buscadores de organismos estatales y autonómicos no satisfacían: la comunicación entre los usuarios y los colegios. La principal novedad en ***URL.1 o es que los usuarios pueden opinar, comentar y poner nota a los colegios. El objetivo con estas opiniones de los usuarios es ayudar a otros usuarios indecisos en la difícil tarea de encontrar el colegio que más se adapte a sus necesidades. Se crea de esta manera un foro de opiniones, comentarios, críticas donde se puede consultar la reputación de cada colegio. Con las valoraciones personales de nuestros usuarios se establece un ranking de colegios de carácter no oficial. Los usuarios se comprometen a comentar verídicamente su opinión personal de colegio, justificada y guardando en todo momento respeto Todas las opiniones introducidas son moderadas por los administradores de ***URL.1 y en última instancia por los propios colegios. Ofertas de trabajo: Como buscador de colegios online, el perfil más adecuado para trabajar en ***URL.1 es programador web. Si recibimos un CV de un profesor, entenderemos que el candidato acepta nuestros términos de servicio y quiere que le promocionemos con nuestra sección de ayuda a profesores a encontrar trabajo en colegios: insertaremos su CV en nuestro sistema para que pueda enviarlo automáticamente a todos los colegios privados de su elección. También insertaremos un anuncio genérico de clases particulares basándonos en las habilidades descritas en el CV del candidato, siempre preservando al máximo los datos personales (sólo mostraremos nombre y foto). En la era de las redes sociales, Facebook, Instagram ... podemos considerarlo una situación normal. Garantizamos que no cederemos a nadie estos datos personales. En cualquier momento el candidato podrá contactar con nosotros para que le suministremos las claves de acceso al sistema para poder gestionar su cuenta, incluso eliminarla si así lo desea”. D).- Consta la existencia de un formulario para crear cuenta de usuario donde se recogen los datos de “email” y “contraseña”. E).- En la opción, “Contacta con Nosotros”, aparece un formulario donde se recogen los datos de, “nombre” y “email”. F).- No se ha podido constatar la existencia de un comentario relativo al colegio ***COLEGIO.1 con fecha ***FECHA.1 ni del usuario ***USUARIO.
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 TERCERO: Con fecha 18/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 13) del RGPD, respecto de tratamiento de la información que debe proporcionarse a los usuarios cuando se recogen sus datos personales, con una sanción de APERCIBIMIENTO y en el artículo 22.2) de la LSSI, respecto de la Política de Cookies de la página web de su titularidad, con una sanción de APERCIBIMIENTO. CUARTO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 07/07/20, formuló, en síntesis, las siguientes alegaciones: “Se comunica que se han tenido en cuenta todas y cada una de las indicaciones que se le han sugerido sobre el tratamiento de datos personales, sobre la política de privacidad y sobre la Política de cookies, para adecuarlas a la normativa vigente. Que se ha rectificado la web en dicho sentido, según se puede comprobar cliqueando en los apartados correspondientes”. QUINTO: Con fecha 15/07/20, por parte de esta Agencia, se comprueba que en la página web denunciada, ***URL.1, aparece la siguiente información, respecto de: A).- Sobre la “Política de cookies”: 1º.- En esta primera capa, aparece un banner sobre cookies, en la parte inferior de la página, con el siguiente mensaje: “Utilizamos cookies de terceros para analizar el tráfico y la navegación web con fines estadísticos; identificar, seleccionar y mostrar contenidos publicitarios”. <<Más información>> - <<Aceptar>> 2º.- En la segunda capa, accesible a través del link, “más información” se despliega una página donde existe, entre otras, la siguiente información: Qué son las cookies; Explicación sobre las 3 cookies que se instalan en el equipo terminal y su duración: _ga, con finalidad rendimiento según https://cookiepedia.co.uk y asociada a Google Analytics; _gat, con finalidad rendimiento según https://cookiepedia.co.uk y asociada a Google Analytics; _gid, con finalidad rendimiento según https://cookiepedia.co.uk y asociada a Google Analytics; Cómo deshabilitar las cookies a través de los navegadores. B).- Sobre la “Política de Privacidad” de la página web denunciada, en el enlace ***ENLACE.1, se proporciona información sobre: Datos del Titular de la página web; Principios aplicados en el tratamiento de datos Obtención de datos personales; Los derechos de los usuarios; La finalidad del tratamiento de datos personales; Sobre la seguridad de los datos personales; Contenido de otros sitios web; Categorías de datos personales; Conservación de los datos personales; Destinatarios de datos personales; Aceptación y consentimiento; Revocabilidad; Cambios en la Política de Privacidad C).- Consta la existencia de un formulario para crear cuenta de usuario donde se recogen los datos de “email” y “contraseña”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 D).- En la opción “Contacta con Nosotros” aparece un formulario donde se recogen los datos de “nombre”, “email”, “mensaje”. E).- No se ha podido constatar la existencia de un comentario relativo al colegio ***COLEGIO.1 con fecha ***FECHA.1 ni del usuario ***USUARIO.1 SÉXTO: Con fecha 17/08/20, se notifica a la persona reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione con “apercibimiento” por una infracción del artículo 13) del RGPD, de conformidad con lo establecido en el artículo 58.2) del citado RGPD respecto a su política de privacidad y con “apercibimiento”, por infracción del artículo 22.2 de la LSSI, respecto de su política de cookies. SÉPTIMO: Tras la notificación de la propuesta de resolución, no se ha recibió ningún tipo de alegaciones a la propuesta de resolución, en el tiempo concedido al efecto. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Con fecha 08/11/19 y 20/05/20, se comprueba, por parte de esta Agencia, en la web ***URL.1, respecto de la política de cookies y de la política de privacidad, los siguientes aspectos: Sobre la Política de Cookies: - Existe un banner en la parte inferior de la página, con la leyenda: “Este sitio web usa cookies para asegurar una mejor experiencia del usuario”, contradiciendo lo recomendado en el punto 3.1.2.1.b) de la Guía de Uso de cookies, editada por la AEPD en noviembre de 2019 - En la página principal de la web (primera capa), existe la opción de <<Aceptar>> todas las cookies haciendo clic en “aceptar”, o bien si se desea más información se puede hacer clic en <<Más Información>>. - Entrando en la segunda capa, a través del link, “Más Información”, solo se proporciona la Información: “Google usa cookies para ayudar a servir los anuncios que muestra en las páginas web de sus colaboradores, páginas web que muestran anuncios de AdSense (como esta). Cuando un usuario visita la web de un colaborador, se puede guardar una cookie en el navegador del usuario, pero nunca de manera intrusiva. Al navegar por nuestra página web, aceptas estos términos de uso”. Sobre la Política de Privacidad: - NO consta “Política de Privacidad” en la página web, aunque sí aparece el enlace con dicho título, pero si se intenta cliquear en él solo produce la recarga de la página actual. 2.- Con fecha 07/07/20, la persona reclamada notifica a esta Agencia que, “se han tenido en cuenta todas y cada una de las indicaciones que se le han sugerido sobre el tratamiento de datos personales, sobre la política de privacidad y sobre la Política de dicho sentido”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 3º.- Con 15/07/20, se comprueba, por parte de esta Agencia, en la web ***URL.1 , respecto de la política de cookies y de la política de privacidad, los siguientes aspectos: A).- Sobre la Política de Cookies: - - - - Existe un banner en la parte inferior de la página, con la leyenda: “Utilizamos En la misma página principal, existe la opción de aceptar la instalación de las ejemplo 2 del 3.1.2.2) de la Guía de Uso de cookies, editada por la AEPD en noviembre de
- Entrando en la segunda capa, a través del link, “Política de Cookies”, se proporciona información sobre algunos aspectos de las cookies, como por ejemplo, qué son, los tipos de cookies que se cargan cuando se navega por la web, también se da información sobre el tiempo que permanecerán instaladas en el equipo. Respecto de la gestión de las cookies, la página web solo informa de, “Puede habilitar o deshabilitar las mismas, el Usuario tiene la posibilidad de configurar su navegador para ser avisado de la recepción de cookies y para impedir su instalación en su equipo”, ofreciendo después información sobre como acceder al mismo en los diferentes navegadores, pero sin habilitar un mecanismo que permita su configuración o el rechazo de todas la cookies, limitándose solo a informar al usuario como puede acceder a la página correspondiente del navegador instalado en su equipo para la configuración del mismo. B).- Sobre la Política de Privacidad: - Existe un enlace ***ENLACE.1, donde se proporciona información sobre, los datos del Titular de la página web; los principios aplicados en el tratamiento de datos; la obtención de datos personales; los derechos de los usuarios; la finalidad del tratamiento de datos personales; sobre la seguridad de los datos personales; la categorías de datos personales; la conservación de los datos personales; los destinatarios de datos personales o la revocabilidad. - Consta la existencia de un formulario para crear cuenta de usuario donde se recogen los datos de “email” y “contraseña” y en la opción “Contacta con Nosotros” aparece un formulario donde se recogen los datos de “nombre”, “email”, “mensaje”. - No se ha podido constatar la existencia de un comentario relativo al colegio de fecha ***FECHA.1 ni del usuario ***USUARIO.1 FUNDAMENTOS DE DERECHO I Competencia: Sobre la Política de Privacidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Sobre la Política de Cookies: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Sobre la política de privacidad, indicar que en el enlace ***ENLACE.1, se proporciona información sobre el responsable del tratamiento de los datos personales que se recogen a través de la página; los principios aplicados en el tratamiento de datos; la obtención de datos personales; los derechos de los usuarios; la finalidad del tratamiento de datos personales y sobre la seguridad de los datos personales; la categorías de datos personales; el tiempo de conservación de los mismos y los destinatarios así como la revocabilidad del consentimiento dado, por lo que, atendiendo a lo estipulado en la normativa vigente, el tratamiento de los datos personales no contradice lo indicado en el artículo 13 del RGPD. Sobre la política de cookies en la página web denunciada, se ha comprobado que se ha modificado su política, introduciendo modificaciones en el banner en la página inicial, con una leyenda que proporciona información ajustada a lo recomendado en el punto 3.1.2.1.b) de la Guía de Uso de cookies, así como la posibilidad, en esta página de aceptar todas las cookies. No obstante, sigue sin existir, en la segunda capa, un mecanismo que posibilite la configuración de las mismas, o el rechazo de todas ellas, limitándose a indicar en la web que si el usuario desea gestionar la instalación de A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: APERCIBIR: a D. A.A.A., titular de la página web, ***URL.1, por la infracción de los artículo 13 del RGPD en lo que respecta a la política de privacidad pues no fue modificada hasta que tuvo conocimiento del la incoación del presente expediente y por infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web. REQUERIR: a D. A.A.A., para que, en el plazo de un mes, a contar desde la notificación de esta resolución, adecue la página web de su titularidad para incluir un mecanismo, que permita rechazar todas las cookies. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es