PS-00185-2020

1/6  Procedimiento Nº: PS/00185/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00185/2020, instruido por la Agencia Española de Protección de Datos, a entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.: B39730973 titular de la página web ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A. (en adelante, “la persona reclamada”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 01/05/19, tuvo entrada en esta Agencia, denuncia presentada por la reclamante en la que indicaba, entre otras, lo siguiente: “El pasado 20 de abril detecte que la web carecía de medidas de seguridad para proteger los datos personales como (HTTPS). Además, la web carece de información respecto al procesado de los datos personales y su finalidad, así como, el periodo en el cual se almacenan. He contactado con el vendedor instando a que mejore y adapte la seguridad de su web a la legislación vigente y no ha respondido a ningún email”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 26/06/19, 18/12/19 y 19/02/20 , se dirige requerimiento informativo a la entidad reclamada, teniendo como resultado: Según certificado del Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento realizado a la entidad reclamada, con fecha 26/06/19, a través del servicio de notificaciones electrónicas, fue rechazada el 07/07/19. Según certificado del Servicio de Correos, el requerimiento realizado a la entidad reclamada, con fecha 18/12/19, a través del servicio de correo certificado (SICER), dio como resultado: 1º Intento de entrega el 06/02/20, Ausente. 2º Intento de entrega el 11/02/20, resultado Ausente. Según certificado del Servicio de Correos, el requerimiento realizado a la entidad reclamada, con fecha 19/02/20, a través del servicio de correo certificado (SICER), dio como resultado: entrega el 24/02/20, siendo el receptor: Dª B.B.B. - ***NIF.1 TERCERO: Con fecha 15/06/20, consultada la página web ***URL.1, se pudo constatar las siguientes características respecto a sus protocolos de seguridad, su “política de privacidad” y su “política de cookies”: “La web denunciada comercializa placas de matrícula de vehículos, para su venta online. Para adquirir un juego de placas de matrícula, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjunC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 tos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago”. Respecto de los protocolos de seguridad utilizados: Al acceder a la página web denunciada, se comprueba que se accede a la dirección: ***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada). - Respecto de la “Política de Privacidad”: En la parte inferior de la página inicial de la web, a través del link “Aviso Legal”, se accede a la página: ***PÁGINA.1, en la cual, se proporciona, entre otras, información sobre: el responsable del tratamiento, la recopilación, finalidad, legitimación de los datos de carácter personal; condiciones generales y requisitos para la utilización de la web y sobre los derechos de propiedad intelectual de la web. - Sobre la protección de datos personales, la página informa: “En cumplimiento de Ley 15/1999 de Protección de datos de carácter personal, Miguel Ibáñez Bezanilla S.L., le informa de que los datos que se hayan recabado a través de este sitio Web se introducirán en un fichero automatizado, con la finalidad de gestionar las consultas on-line y peticiones de información relacionadas con uno o varios de los servicios que ofrece Miguel Ibáñez Bezanilla S.L. a través de su Web, gestionar su pedido, tramitar su solicitud de información para el curso, así como para el envío de información comercial. Tiene la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición ante el responsable del fichero, a través de carta o e-mail, junto con la fotocopia de su DNI a la siguiente dirección: ***DOMICILIO.1 Miguel Ibáñez Bezanilla S.L. garantiza la custodia de los datos contenidos en este fichero, para lo cual adoptará las medidas tendentes a evitar su alteración, pérdida y acceso no autorizado, siempre de conformidad con el estado de la tecnología en cada momento. En caso de no querer recibir comunicaciones comerciales, por favor envíenos un correo electrónico a la dirección ***EMAIL.1 o si lo prefiere por correo postal a Miguel Ibáñez Bezanilla S.L. C/ ***DOMICILIO.2.” - Respecto de la “Política de Cookies”: Al acceder a la página web (primera capa), NO existe ningún tipo de banner que informe sobre la utilización de cookies en la web denunciada. No obstante, si se accede a la página de “Aviso Legal”, existe un apartado donde se informa sobre cookies, indicando que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 “Miguel Ibáñez Bezanilla S.L. puede utilizar cookies cuando un usuario navega por los sitios y páginas de la Web. Las cookies son ficheros enviados a un navegador por medio de un servidor Web para registrar las actividades del usuario en la Web. Las cookies utilizadas por Miguel Ibáñez Bezanilla S.L. se asocian únicamente con un usuario anónimo y su ordenador, y no proporcionan por sí el nombre y apellidos del usuario. Gracias a las cookies, resulta posible que Miguel Ibáñez Bezanilla S.L. reconozca a los usuarios registrados después de que éstos se hayan registrado por primera vez, sin que tengan que registrarse en cada visita para acceder a las áreas, servicios, promociones o concursos reservados exclusivamente a ellos. Se utilizan también para medir la audiencia y parámetros del tráfico, controlar el progreso. El usuario tiene la posibilidad de configurar su navegador para ser avisado en pantalla de la recepción de cookies y para impedir su instalación en su disco duro. Por favor, consulte las instrucciones y manuales de su navegador para ampliar esta información. Para utilizar la Web no resulta necesario que el usuario permita la instalación de las cada uno de los servicios cuya prestación requiera el previo registro o login. Los servidores Web de Miguel Ibáñez Bezanilla S.L. detectan de manera automática la dirección IP y el nombre de dominio utilizados por el usuario. Toda esta información es registrada en un fichero de actividad del servidor que permite el posterior procesamiento de los datos con el fin de obtener mediciones estadísticas que permitan conocer el número de impresiones de páginas, el número de visitas realizadas a los servicios Web. CUARTO: Con fecha 24/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo establecido en la normativa vigente e imponiendo las siguientes sanciones: 1.000 euros (mil euros), por la infracción del artículo 32 del RGPD, por la política de seguridad realizada en la página web de su titularidad. 1.000 euros (mil euros), por la infracción del artículo 13 del RGPD, por la política de privacidad realizada en la página web de su titularidad. 1.000 euros (mil euros), por la infracción del artículo 22.2 de la LSSI, por la política de cookies instalada en la página web. QUINTO: Notificada la incoación del expediente el día 05/07/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- La página web denunciada comercializa placas de matrícula de vehículos, para su venta on-line. Para adquirir un juego de placas, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 cluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago. 2º.- Respecto de los protocolos de seguridad utilizados: Al acceder a la página web denunciada, se comprueba que se accede a la dirección: ***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada). 3º.- Respecto de la “Política de Privacidad”: En la parte inferior de la página inicial de la web, a través del link “Aviso Legal”, se accede a la página: ***PÁGINA.1, en la cual, se proporciona, entre otras, información sobre: el responsable del tratamiento, la recopilación, finalidad, legitimación de los datos de carácter personal; condiciones generales y requisitos para la utilización de la web; sobre los derechos de propiedad intelectual de la web. 4º.- Sobre la protección de datos personales, la página informa haciendo referencia al “cumplimiento de Ley 15/1999 de Protección de datos de carácter personal 5º.- Respecto de la “Política de Cookies”: Al acceder a la página web (primera capa), NO existe ningún tipo de banner que informe sobre la utilización de cookies en la web denunciada. No obstante, si se accede a la página de “Aviso Legal”, existe un apartado donde se informa sobre varios aspectos de las cookies. FUNDAMENTOS DE DERECHO I Competencia: Sobre la Política de Privacidad: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Sobre la Política de Cookies: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 a).- De las actuaciones practicadas, con relación a la “Política de Seguridad” de la página web denunciada, se constata que recopila datos personales de los usuarios utilizando un protocolo de seguridad “http//”, carente de un nivel mínimo de seguridad. b).- De las actuaciones practicadas, con relación a la “Política de Privacidad”, de la página web denunciada, se ha constatado que la misma aún hace referencia a la derogada LOPD, por lo que aún no ha sido adaptada a la nueva normativa vigente sobre protección de datos de carácter personal. c).- De las actuaciones practicadas, con relación a la “Política de Cookies”, en la página web denuncia, se ha constatado que, en la primera Capa, (página inicial), NO existe ningún tipo de banner sobre cookies que proporcione información genérica sobre la instalación de cookies en el equipo terminal y en la segunda Capa, a través del link: “aviso legal”, existe un apartado donde se proporciona cierta información genérica sobre las cookies, pero no se proporciona información sobre la identidad y las características de cookies propias que se instalan, ni el tiempo que permanecen activas en el equipo terminal. Tampoco sobre las cookies de terceros. Además, en esta segunda capa NO existe ninguna posibilidad de rechazar todas las cookies. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: IMPONER a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.: B39730973 titular de la página web ***URL.1 por Infracción de los artículos 32 y 13 del RGPD respecto de la política de seguridad y respecto de la política de privacidad respectivamente y por la infracción del artículo 22.2) de la LSSI, respecto de su Política de Cookies, una sanción de 3.000 euros (tres mil euros= 1.000 euros (art. 32 RGPD) + 1.000 euros (art. 13 RGPD) + 1.000 euros (art. 22.2 LSSI). SEGUNDO: REQUERIR a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., para que, en el plazo de un mes desde este acto de notificación, tome las medidas adecuadas para modificar en la página web de su titularidad en los siguientes puntos: - Modificar su política de seguridad mediante la instalación de protocolos de seguridad que garanticen la transmisión de datos personales de forma segura entre el terminal del usuario y el servidor web. Adaptar la página web a la vigente normativa sobre protección de datos personales, (RGPD), incluyendo en la misma la información que el artículo 13 del citado Reglamento estipula. Incluir el banner sobre cookies de la primera capa e incluir una segunda capa la información necesaria sobre las cookies y un mecanismo que permita rechazar todas las cookies. TERCERO: NOTIFICAR la presente resolución a la entidad, MIGUEL IBÁÑEZ BEZANILLA S.L. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las AdC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es