PS-00208-2020

1/4  Procedimiento Nº: PS/00208/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00208/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, ELECTRICA DHARMA CB., con CIF.: E58142720, titular de la página web, ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 07/11/19, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La web ***URL.1 no cumple la actual normativa vigente de Protección de Datos, porque no da la debida información sobre cookies, carece de cualquier tipo de política de privacidad”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 14/01/20 y 27/01/20, se dirigen sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, del Ministerio de Política Territorial y Administración Pública, el requerimiento enviado a la entidad reclamada el 14/01/20, a través del servicio de Notific@, fue rechazado por la entidad el día 25/01/20. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada el 27/01/20, a través del servicio de SICER, fue recogido en destino el 30/01/20, siendo el receptor: D. B.B.B. - ***NIF.1. TERCERO: Con fecha 19/07/20 se consulta la página web, comprobando los siguientes aspectos sobre la política de privacidad y la política de cookies de la página web: a).- La página web denunciada, puede recoger información sobre datos personales de los usuarios, como el nombre y la dirección electrónica, a través de la pestaña <<contacta>>, ***PÁGINA.1. b).- Respecto de la Política de Privacidad: En la parte superior de la página inicial de la web, a través del link, “Política de Privacidad”, se accede a la página, ***PÁGINA.2, la cual informa, en catalán, solamente sobre las características de las cookies y como eliminarlas configurando el navegador del equipo terminal. c).- Sobre la Política de Cookies de la página web: c.1.) Al acceder a la página web, ***URL.1 (primera capa), existe un banner de información sobre cookies en la parte inferior de la misma, con la siguiente leyenda: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarle publicidad relacionada con sus preferencias mediante el análisis de sus hábitos de navegación. Si continúa navegando, consideramos que acepta su uso. Puede cambiar la configuración u obtener más información en nuestra "Política de Cookies". Más información”. <<Preferencias de Privacidad>> <<ACEPTAR>> b.2.) Si se accede a la política de cookies (segunda capa), a través del link “Preferencias de Privacidad”, la web redirige a la misma página ***PÁGINA.2, referenciada anteriormente. CUARTO: Con fecha 12/08/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el art. 13 del RGPD, con una sanción de apercibimiento y por incumplimiento del art. 22.2 de la LSSI, con una sanción de apercibimiento. QUINTO: Notificada la incoación del expediente el día 24/08/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- La página web denunciada, ***URL.1 puede recoger información sobre datos personales de los usuarios, como el nombre y dirección electrónica, a través de la pestaña <<contacta>>. 2º.- La página que debería informar sobre la “Política de Privacidad” de la web, ***PÁGINA.2, se encuentra escrita en catalán, y solamente informa sobre cookies. 3º.- Sobre la Política de Cookies de la web, se ha comprobado que al acceder a la página inicial, (primera capa), existe un banner de información sobre la instalación de privacidad”, la web redirige otra vez a la página, ***PÁGINA.2, FUNDAMENTOS DE DERECHO I Competencia: - Sobre la Política de Privacidad: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. - Sobre la Política de Cookies: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Con relación a la “Política de Privacidad”, se constata que, NO existe información referente a la política de privacidad y que el enlace ***PÁGINA.2, que supuestamente debería redirigir a la misma, solamente proporciona información sobre cookies. los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD. Por su parte, el artículo 72.1.

1. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
2. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
3. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “APERCIBIMIENTO”, por la infracción del artículo 13 del RGPD, respecto a la inexistencia de política de privacidad en su página web. III Con relación a la “Política de Cookies”, de la página web reclamada, se ha constatado que, en la primera capa, el banner sobre cookies, informa sobre la utilización de relacionada con las preferencias de navegación. Indica además que, “si continúa navegando, consideran que se acepta su uso” y en la segunda capa se vuelve a desplegar la misma información que se suministraba en la “política de privacidad”, no existiendo la posibilidad de rechazar todas las cookies. Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la infracción del artículo 22.2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de “APERCIBIMIENTO”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad, ELECTRICA DHARMA CB., con CIF.: E58142720, titular de la página web, ***URL.1, por la infracción de los artículo 13 del RGPD en lo que respecta a la política de privacidad y por infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web. REQUERIR: a la entidad ELECTRICA DHARMA CB., para que, en el plazo de un mes, a contar desde la notificación de esta resolución, adecue la página web de su titularidad para incluir información en su política de privacidad, acorde con lo estipulado en el artículo 13 del RGPD, e incluir un mecanismo, que permita rechazar todas las cookies. NOTIFICAR: la presente resolución a la entidad ELECTRICA DHARMA CB. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es