PS-00223-2020

1/5  Procedimiento Nº: PS/00223/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00223/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, GRANJA AVENTURA, S.L. con CIF.: B65841603; titular de la página web, ***URL.1, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 03/01/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La página ***URL.1 dispone de una Política de Privacidad obsoleta, que no cumple con la obligación de información impuesta por la LOPDGDD del año 2018 y por el RGPDUE. Al mismo tiempo, su formulario de contacto no obliga a aceptar la política de privacidad - esto es, a dar el consentimiento para el tratamiento de los datos - al tiempo que aparece una casilla premarcada para suscribirse a una newsletter, en clara contravención de la normativa vigente. Se adjuntan copias de la página principal, el formulario de contacto y la política de privacidad (que forma parte del Aviso Legal y que no es accesible por separado)”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 07/02/20, se dirigen requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 06/03/20, la entidad reclamada, presenta escrito ante esta Agencia, en el cual, entre otras, indica: “El reclamante manifiesta que la página web ***URL.1 podría estar vulnerando el art. 13 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) al no contar ésta con unas Políticas de Privacidad adecuadas donde se proporcione al usuario información clara y completa sobre el tratamiento de sus datos personales y los derechos que le asisten. Revisado este hecho por el área de sistemas, se ha concluido que la página web que visitó el reclamante se encontraba en un estado de provisionalidad al haberse determinado la necesidad de implantación de una nueva página web corporativa en esta entidad. Cuando el reclamante visitó la página, la entidad GRANJA AVENTURA S.L. se encontraba ultimando detalles de diseño y proyección de la nueva página web, bajo el mismo dominio, adaptada a las previsiones de la normativa, en concreto, lo previsto en el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Esta entidad ha encargado la redacción y revisión de las Políticas de Privacidad a una Consultoría especializada en Protección de Datos, con la que se han trabajado los textos conjuntamente. Para el diseño y redacción de la nueva Política de Privacidad se ha tenido especialmente en cuenta el Decálogo para la adaptación al RGPD de las políticas de privacidad en internet publicada por esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Autoridad de Control. El contenido actual de la Política de Privacidad es el siguiente: • Identificación del Responsable de Tratamiento y los datos de contacto. • Determinación exacta de la finalidad del tratamiento y la base jurídica. • Plazo de conservación de los datos personales. • Los destinatarios de los datos personales. • Los derechos que asisten a los interesados. • La posibilidad de presentar una reclamación ante esta Autoridad de Control. Se han previsto acciones formativas adicionales en materia de protección de datos personales, a través de plataformas online, destinadas al global del personal estructural de la organización, en especial, al personal de sistemas, enfocada al siguiente contenido: - Nociones básicas - El deber de informar - Responsable de Tratamiento y Encargado de Tratamiento - Derechos de los interesados - Medidas de seguridad físicas -Esta entidad ha enviado una comunicación escrita a todos los trabajadores, recordándoles que deben notificar al Responsable de Tratamiento de cualquier uso o finalidad que se pretenda con los datos personales responsabilidad de este. Entre los que se incluyen los datos recogidos a través de la página web. Con esta comunicación esta entidad pretende mantener actualizadas las Políticas de Privacidad y evitar tratamientos no autorizados sobre los datos personales. A raíz del incidente ocurrido con la página web, se programarán auditorías integrales periódicas, que realizará una Consultoría especializada en Protección de Datos, para supervisar la correcta implantación del régimen de protección de datos establecido por el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Mediante estas auditorías se podrá comprobar el cumplimiento normativo de cada departamento de esta entidad, en especial, el entorno digital. Se ha procedido a adecuar la página web ***URL.1 y a programar la primera auditoria integral para supervisar el debido cumplimiento de todos los departamentos de la entidad”. CUARTO: Con fecha 19/07/20, por parte de esta Agencia, se consulta la página web en cuestión, comprobando los siguientes aspectos sobre su la política de privacidad: Al acceder a la página principal de la web ***URL.1, se comprueba que existe un apartado, con el título: “LEGAL”, en la parte inferior de la página, que contiene dos links, uno a la “Política de Privacidad” y otro a “Aviso Legal”. A).- Sobre la “Política de Privacidad”: A través del link ***LINK.1, se redirige a una página que contiene información sobre: quién es responsable del tratamiento de sus datos; los datos identificativos del responsable de tratamiento; cuál es la base jurídica para el tratamiento de datos; las finalidades del tratamiento de los datos; se informa de que no se realizarán evaluaciones automatizadas, ni se elaborarán perfiles de usuarios; el tiempo de conservación de los datos personales; a qué destinatarios se comunicarán los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 cuáles son los derechos de los usuarios que facilitan sus datos; los derecho a presentar una reclamación ante la AEPD. Respecto a las finalidades para las que recopilan los datos personales, se indica: “En la presente web, sólo se tratan datos facilitados por los Usuarios. Los datos que se pueden recabar del usuario serán tratados con las finalidades de: Gestión de sus datos de contacto para solventar dudas o sugerencias, siendo la base legal su consentimiento. Gestión de sus datos para la compra de entradas, siendo la base legal su consentimiento, así como la ejecución de una relación precontractual. Enviarle, en su caso, notificaciones que puedan ser de su interés, siendo la base legal su consentimiento”. B).- Sobre la información contenida en el “Aviso Legal”: A través del enlace ***ENLACE.1, se redirige a una página que contiene información sobre los siguientes aspectos: “GRANJA AVENTURA S.L., provista de CIF B65841603, actúa como titular, dinamizador y gestor de contenidos de la presente web. La entidad informa a los Usuarios que cumple con la vigente normativa de protección de datos, y con carácter especial, con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y con la Ley de la Sociedad de Servicios de la Información y Comercio Electrónico, Ley 34/2002, de 11 de julio. Razón Social o Nombre de la Empresa CIF.- GRANJA AVENTURA S.L. B65841603 Dirección: ***DIRECCIÓN.1 Población: Código Postal: ***POBLACIÓN.1 - ***C.P.1. C).- Página de Contacto, (“Únete al Club”): Para darse de alta como usuario de la página, existe una casilla que se debe marcarse antes de enviar el formulario con el nombre y el correo electrónico, para dar el consentimiento: “_ Acepto la Política de Privacidad“. Si se cliquea en el link, “política de privacidad”, se vuelve a redirigir a la página ***LINK.1, indicada anteriormente. QUINTO: Con fecha 12/08/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por infracción del artículo 7 del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto a la recogida del consentimiento de los socios, con una sanción inicial de “apercibimiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 SEXTO: Notificada la incoación del expediente el día 23/08/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- Se ha podido constatar que, en la política de privacidad de la página web denunciada, existen tres finalidades del tratamiento basadas en el consentimiento, como son: la gestión de los datos de contacto para solventar dudas o sugerencias; la gestión de los datos para la compra de entradas y la gestión de los datos para enviar, en su caso, notificaciones, pero no existe la posibilidad de que el usuario dé su consentimiento individualmente a cada una de ellas por separado existiendo sólo una casilla de aceptación genérica “_ Acepto la Política de Privacidad“, cuando desea darse de alta como miembro del club. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. De las actuaciones practicadas, con relación al consentimiento dado por el usuario, se ha podido constatar que, existen tres finalidades del tratamiento basadas en el consentimiento, pero no existe la posibilidad de que el usuario dé su consentimiento individualmente a cada una de ellas por separado existiendo sólo una casilla de aceptación genérica para las tres finalidades. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 7 del RGPD, al realizar la recogida del consentimiento mediante una acción única y genérica para las tres finalidades para las que se recogen los datos personales de los usuarios. Por su parte, el artículo 72.1.c) de la LOPDGDD, considera muy grave, a efectos de prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 7 del RGPD, permite fijar una sanción de “Apercibimiento”. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad, GRANJA AVENTURA, S.L. con CIF.: B65841603; titular de la página web, ***URL.1 por la infracción de los artículo 7 del RGPD en lo que respecta a la recogida del consentimiento de los usuarios. REQUERIR: a la entidad GRANJA AVENTURA, S.L. para que, en el plazo de un mes, a contar desde la notificación de esta resolución, adecue la página web de su titularidad para incluir un mecanismo que permita recoger el consentimiento de los usuarios, para cada una de las finalidades, a las que se destinará sus datos. NOTIFICAR: la presente resolución a la entidad GRANJA AVENTURA, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es