PS-00224-2023

1/16  Expediente N.º: EXP202301033 (PS/00224/2023) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 25/01/23, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra B.B.B., con NIF.: ***NIF.1, titular de la página web: www.cementeriodemarmotas.com (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y contra la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los motivos en que basaba la reclamación eran que, esta web no cumple con la normativa legal vigente sobre: privacidad, cookies o aviso legal. SEGUNDO: Con fecha 30/01/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el art 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de lo siguiente: - Del requerimiento que se hizo el 21/03/23 a la entidad Arsys Internet S.L., se recibe respuesta de esta entidad indicando que el registro de la web se hizo a través de la entidad TESYS INTERNET, S.L.U. Del requerimiento que se hizo el 29/03/23 a la entidad TESYS INTERNET, S.L.U., se obtiene respuesta el 01/04/23, indicando que el responsable de la web www.cementeriodemarmotas.com es B.B.B.; NIF: ***NIF.1; Dirección: ***DIRECCION.1. CUARTO: Con fecha 24/04/23, por parte de esta Agencia se accede a la página web www.cementeriodemarmotas.com, diligenciando las siguientes características sobre su “Política de Privacidad” y sobre su “Política de Cookies”: a).- Sobre el tratamiento de datos personales: Se comprobó que en la página web en cuestión se podía obtener datos personales como el nombre, el correo electrónico o el asunto, a través del link de “contacto”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 b).- Sobre la “Política de Privacidad”: Se comprobó como en la parte inferior de la página inicial de la web en cuestión existía un enlace a la “Política de Privacidad”. No obstante, este enlace es encontraba inactivo, imposibilitando el acceso a la información. La única información que se suministraba sobre la gestión de los datos personales era a través del enlace existente en el banner de información sobre cookies situado en la página principal, donde la información referente a la protección de datos hacía referencia a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y al RD 1720/2007, de 21 de diciembre, por el que se aprobaba el Reglamento de la LOPD. Normas derogadas en el momento de acceso a la web. c).- Sobre la Política de Cookies: 1.- Sobre la utilización de cookies antes de que el usuario preste su consentimiento: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se comprobó como la web en cuestión utilizaba cookies que no eran técnicas o necesarias: a.- Cookies de rendimiento: “_gid” ; “_ga” y “1XZJN7SWGN_ga”. b.- Cookies de orientación: “_gat_gtag_UA_59353212_5”. 2.- Sobre el banner de información sobre cookies en la primera capa: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, aparecía un banner de información sobre cookies en la parte inferior de la página principal, con el mensaje: “En esta web te metemos cookies... Todo sea para que disfrutes al máximo –” constatando que no se identificaba las finalidades para las que se utilizarán las cookies y si éstas son propias o también de terceros. 3.- Sobre la posibilidad de gestionar las cookies utilizadas en la web: Se constató que no existía ninguna posibilidad de rechazar las cookies que no fueran técnicas o necesarias o gestionarlas de forma granular a través de un panel de control, al no existir éste en la web. 4º.- Sobre el acceso a la “Política de Cookies”: Se constató que no existía ningún tipo de información en la web sobre la política de de Cookies>> se encontraba inactivo. QUINTO: Con fecha 23/06/23 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador EXP202301033 (PS/00224/2023) a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta vulneración de lo establecido en el artículo 13 del RGPD, tipificada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 artículo 83.5.

1. b)de la citada norma, respecto de las deficiencias observadas en la “Política de Privacidad” de su página web, con una sanción inicial de 2.000 euros y por la presunta infracción del artículo 22.2 de la LSSI, tipificada en el artículo 38.4.
2. g)de la citada norma, respecto de las deficiencias detectadas en su la “Política de Cookies”, con una sanción inicial de 2.000 euros. Además, también se indicaba que, de confirmarse la infracción del artículo 13 del RGPD, podría acordarse imponer al responsable de la web la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2
3. d)del RGPD. SEXTO: Con fecha 12/09/23, se recibe en esta Agencia escrito de alegaciones a la incoación del expediente, en el cual, se hacía referencia a los siguientes puntos: - El denunciante es un fotógrafo que actúa en redes sociales, con campañas de publicidad y marketing y, alrededor del año 2019 le hice una crítica social, y eso debe haber sido la causante de cierta inquina personal. El dominio objeto de la denuncia (www.cementeriodemarmotas.com) estaba en construcción o pruebas definitivas y contenía números errores que al ser advertidos por el propio acuerdo de iniciación han sido subsanados. Prueba más evidente de lo expresado precedentemente es que el formulario descrito en el acuerdo de iniciación nunca funcionó y nunca se llegó a recopilar ningún dato de nadie. - Los defectos existentes en los enlaces de pie de página sobre las políticas de protección de datos y cookies se han subsanado. Además de ello, la parte reclamada solicitaba que se abriera periodo de prueba para realizar la testifical al denunciante sobre la veracidad de los hechos expuestos y en su caso una prueba pericial sobre el contenido del dominio referido SÉPTIMO: Con fecha 13/09/23, por parte de esta Agencia se accede de nuevo a la página web www.cementeriodemarmotas.com, diligenciando las siguientes características sobre su “Política de Privacidad” y su “Política de Cookies”: a).- Sobre el tratamiento de datos personales, se observa que la web puede obtener datos personales (nombre y correo electrónico) de los usuarios a través del formulario existente en la opción, <<comentarios>>, que se incluye en las noticias publicadas. b).- Sobre la utilización de cookies, se observa que, antes de cliquear en alguna de las opciones “aceptar”, “denegar” o “ver preferencias” en el banner de información sobre Si se opta por rechazar todas las cookies cliqueando en la opción <<Denegar>>, la web sigue sin utilizar ningún tipo de cookies. Si se opta por acceder al panel de control de cookies cliqueando en la opción <<Ver preferencia>>, se observa que los diferentes grupos de cookies están premarcados en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 la opción “OFF”. Si se desea no utilizar ningún tipo de cookies, mediante la opción <<Denegar>> o <<Guardar preferencias>> sin haber movido el cursor a la posición “ON” en este panel de control, se observa que la web sigue sin utilizar cookies. c).- Se observa que el banner de información existente en la página principal proporciona información sobre las finalidades para las que se utilizarán las cookies. d).- Sobre la “Política de Cookies”, se observa que existe un enlace permanente en la parten inferior de la página principal que redirige al usuario a una nueva página https://cementeriodemarmotas.com/politica-de-cookies/ , donde se informa de qué son las cookies y para qué las usan; qué tipo de cookies pueden utilizar; qué tipo de OCTAVO: Con fecha 14/09/23 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionase a la parte reclamada, responsable de la página web https://cementeriodemarmotas.com por vulneración de lo establecido en el artículo 13 del RGPD con una sanción de 2.000 euros (dos mil euros), tipificada en el artículo 83.5.
4. b)de la citada norma, por el tiempo que mantuvo las deficiencias en la “Política de Privacidad” de la página web, y por la vulneración de lo establecido en el artículo 22.2 de la LSSI, tipificada en el artículo 38.4.
5. g)de la citada norma, con una sanción de 2.000 euros (dos mil euros), por el tiempo que mantuvo las deficiencias en la “Política de Cookies” de la página web. NOVENO: Con fecha 10/11/23, la parte reclamada presenta escrito de alegaciones a la propuesta de resolución en el cual, entre otras cuestiones, manifiesta lo siguiente: El denunciante no aporta pruebas de que supuestamente se hayan almacenado sus datos en la web cementeríodemarmotas.com. El dominio www.cementeriodemarmotas.com estaba en construcción o pruebas definitivas y contenía números errores que al ser advertidos por el propio acuerdo de iniciación han sido subsanados para demostrar la buena fe y la ausencia de culpabilidad. Actualmente y después de subsanar un error de actualizaciones en la web, no existe ninguna de las vulneraciones que se exponen. Prueba más evidente de lo expresado precedentemente es que el formulario descrito en el acuerdo de iniciación nunca funcionó y nunca se llegó a recopilar ningún dato de nadie, y por tanto no se pudo hacer ni se hizo ninguna comunicación pública al no existir datos operativos. El formulario actualmente tampoco está disponible desde la web y se aporta captura donde se observa el formulario siempre presentó errores en la recogida de datos. “El formulario de_ comentarios nunca recogió ningún correo electrónico, pues en la configuración de la web se puede comentar sin necesidad de aportar datos en el formulario, y anterior a las reformas que subsanaron lo comentado en la anterior comunicación, la Web no recogía ningún correo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Prueba que se aporta en los anexos a esta carta donde está la tabla completa de comentarios almacenados por el sistema. Los enlaces de pie de página sobre las políticas de protección de datos y cookies se han subsanado y actualmente están completamente funcionales y accesibles. Como punto adicional, se han añadido al menú de cabecera en "Más/…“ para que el posible y futuro usuario tenga mejor accesibilidad a ellos. Como efecto de subsanación de los errores de diseño advertidos, actualmente se pueden configurar, rechazar v/o aceptar las cookies con la configuración y gestión personalizada del usuario. La información sobre cookies está disponible en el pie de página y en el banner de cookies. Con las alegaciones aquí expuestas, se ruega se revise el expediente de nuevo para comprobar que no se dan los requisitos de la normativa para la continuación del expediente sancionador. SEGUNDO.- FUNDAMENTOS JURÍDICOS Principios de la potestad sancionadora de la Administración. Para acreditar cuanto se ha dicho en los anteriores antecedentes de hechos formula la siguiente: PROPOSICIÓN DE PRUEBA 1º Se procede por la AEPD a solicitar al denunciante, mediante TESTIFICAL, la veracidad de los hechos expuestos. 2º Se proceda por la Administración a la comprobación de la veracidad de la subsanación de los derechos señalados en este escrito y en su caso PERICIAL sobre el contenido del dominio referido con las pruebas aportadas. y en los anexos de la carta. En virtud de lo expuesto SOLICITO AL SR. INSTRUCTOR que tenga por presentado este escrito en tiempo y forma. con los documentos que lo acompañan. y por formuladas las alegaciones contenidas en el mismo, debiendo ser tenidas en cuenta tanto estas como aquellas y previos los trámites legales oportunos. dicte propuesta de resolución en el sentido de ORDENAR EL ARCHIVO DEL PRESENTE EXPEDIENTE SANCIONADOR por no haberse cometido infracción alguna,—ya que nunca se recogieron datos. OTRO Si DIGO que. en todo caso, y asistiendo el derecho a esta parte de valerse de cuales quiera medios de prueba admitidos, en derecho, de conformidad con el artículo 77 de la Ley 3912015, de 1 de octubre. del Procedimiento Administrativo Común de las Administraciones Públicas, SOLICITO AL SR.INSTRUCTOR que ACUERDE LA APERTURA DE PERIODO DE PRUEBA para que se practiquen los medios de prueba propuestos por esta parte en el cuerpo del presente escrito así como aquellos otros que cuya práctica considere necesaria de oficio y que resulten pertinentes para una resolución correcta del procedimiento sancionador que respete los principios de defensa y presunción de inocencia que inspiran el derecho administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 DÉCIMO: Con fecha 20/11/23, por parte de esta Agencia se accede de nuevo a la página web www.cementeriodemarmotas.com , diligenciando las siguientes características sobre su “Política de Privacidad” y su “Política de Cookies”: a).- Sobre el tratamiento de datos personales, se observa que en la actualidad, la web puede obtener datos personales (nombre y correo electrónico) de los usuarios, a través del formulario existente en el enlace, <<comentarios>>, que aparece en las noticias, https://cementeriodemarmotas.com/aplicaciones-para-usoparanormal/#respond b).- Sobre la información suministrada en la “Política de Privacidad”, se comprueba que el acceso a la misma se puede hacer a través del enlace existente en banner de información que aparece al entrar por primera vez en la página principal o a través del enlace existe en la parte inferior de la página web, donde la web redirige al usuario a una nueva página https://cementeriodemarmotas.com/politica-de-privacidad/ donde se proporciona información sobre la identidad del responsable de la web; para qué van a usar los datos obtenidos y quién va a conocer dicha información; cómo van a proteger los datos personales; durante cuánto tiempo conservarán los datos; cuales son los derechos que asisten a los usuarios en materia de protección de datos y como ejercerlos y cómo retirar el consentimiento prestado por el usuario. c).- Sobre la utilización de cookies, se observa que, antes de cliquear en alguna de las opciones “aceptar”, “denegar” o “ver preferencias” en el banner de información sobre podido ser identificada: “cmmplz_policy_id” y “aiovg_rand_seed” y si se opta por rechazar todas las cookies cliqueando en la opción <<Denegar>>, la web sigue utilizando las cookies indicadas. Si se opta por acceder al panel de control de cookies cliqueando en la opción <<Ver preferencia>>, se despliega un panel de control, en el cual se observa que los diferentes grupos de cookies están premarcados en la opción “OFF”. Si se desea no utilizar ningún tipo de cookies, mediante la opción <<Denegar>> o <<Guardar preferencias>> sin haber movido el cursor a la posición “ON” en este panel de control, se observa que la web sigue utilizando las cookies detectadas al comienzo. c).- Se observa que en el banner de información existente en la página principal proporciona información sobre las finalidades para las que se utilizarán las cookies. d).- Respecto de la “Política de Cookies”, se observa que existe un enlace permanente en la parten inferior de la página principal que redirige al usuario a la página https://cementeriodemarmotas.com/politica-de-cookies/ , donde se informa de qué son las cookies y para qué las usan; qué tipo de cookies pueden utilizar; qué tipo de través de los navegadores instalados en el equipo terminal. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Primero: El escrito de reclamación presentado en esta Agencia, con fecha 25/01/23, se basaba en que la web www.cementeriodemarmotas.com no cumplía con la normativa legal vigente sobre privacidad, cookies y aviso legal. Por ello, con fecha 24/04/23, diligenciado por parte de esta Agencia se comprobó que la web en cuestión tenía las siguientes características en su “Política de Privacidad” y en su “Política de Cookies”: a).- Se comprobó que la web en cuestión podía obtener datos personales de los usuarios a través del formulario de contacto existente en la misma. Se comprobó además como en la parte inferior de la página web existía un enlace a la “Política de Privacidad” de la web pero se encontraba inactivo. La única información que se suministraba sobre la gestión de los datos personales obtenidos de los usuarios era a través del enlace existente en el banner de información sobre cookies situado en la página principal, (<<Leer más>>), a través del cual, la web redirigía al usuario a una nueva página donde se proporciona, con respecto a la protección de datos de carácter personal, información referenciada a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). b).- Sobre la “Política de Cookies”, se observó que, al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se utilizaban tres cookies de rendimiento (_gid; _ga_1XZJN7SWGN y _ga) y una cookie de orientación (_gat_gtag_UA_59353212_5). c).- Sobre el banner de información sobre cookies en la primera capa se observó que el mismo solamente indicaba lo siguiente: En esta web te metemos cookies... Todo sea para que disfrutes al máximo” sin hacer referencia a las finalidades para las que se utilizarían las cookies. Se comprobó como en la parte inferior de la página web existía un enlace a la “Política de Cookies” de la web pero se encontraba inactivo La única información que se suministraba sobre cookies, era a través del enlace existente en el banner de información <<Leer más>>, y se informaba sobre qué son las cookies y sobre la finalidad de las cookies utilizadas en la web d).- Se observó que no existía ninguna posibilidad de rechazar las cookies que no fueran técnicas o necesarias o gestionarlas de forma granular a través de un panel de control. Segundo: Tras la recepción del escrito de alegaciones a la incoación del expediente, con fecha 13/09/23, se diligenció, por parte de esta Agencia las siguientes características sobre la “Política de Privacidad” y la “Política de Cookies” de la página web en cuestión: a).- Se observó que la web podía obtener datos personales (nombre y correo electrónico) de los usuarios a través del formulario, <<comentarios>>, existente en las noticias publicadas en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 b).- Se observó que antes de cliquear en alguna de las opciones “aceptar”, “denegar” o “ver preferencias” del banner de información sobre cookies de la página principal, la web ya no instalaba ningún tipo de cookies. Si se optaba por rechazar todas las Si se accedía al panel de control de cookies, se observó que los diferentes grupos de ningún tipo de cookies, mediante la opción “denegar” o “guardar preferencias” sin mover ninguno de los cursores a la posición “ON”, la web seguía sin utilizar cookies. c).- El banner de información sobre cookies existente en la página principal proporcionaba información sobre las finalidades para las que se utilizan las cookies. d).- A través del enlace a la “Política de Privacidad”, situado en la parte inferior de la página principal, se proporcionaba información sobre la identidad del responsable de la web; para qué van a usar los datos personales obtenidos; por qué necesitan usar los datos; quién va a conocer la información; cómo van a proteger los datos; si van a enviar los datos a otros países; durante cuánto tiempo van a conservar los datos; cuáles son los derechos de protección de datos; dónde poder formular una reclamación o sobre si elaboran perfiles. e).- A través del enlace a la “Política de Cookies” existente en la parte inferior de la página web, se informaba al usuario de qué son las cookies y para qué las usan; qué tipo de cookies utilizaban y como se pueden gestionar las cookies. Tercero: Tras la recepción del escrito de alegaciones a la propuesta de resolución, con fecha 20/11/23, se diligenció, por parte de esta Agencia las siguientes características sobre la “Política de Privacidad” y la “Política de Cookies” de la página web en cuestión: a).- Sobre el tratamiento de datos personales, se observa que en la actualidad, la web puede obtener datos personales (nombre y correo electrónico) de los usuarios, a través del formulario existente en el enlace, <<comentarios>>, que aparece en las noticias publicadas en la web. b).- Sobre la información suministrada en la “Política de Privacidad”, se comprueba que el acceso a la misma se puede hacer a través del enlace existente en banner de información que aparece al entrar por primera vez en la página principal o a través del enlace existe en la parte inferior de la página web, donde la web redirige al usuario a una nueva página donde se proporciona información sobre la identidad del responsable de la web; para qué van a usar los datos obtenidos y quién va a conocer dicha información; cómo van a proteger los datos personales; durante cuánto tiempo conservarán los datos; cuales son los derechos que asisten a los usuarios en materia de protección de datos y como ejercerlos y cómo retirar el consentimiento prestado por el usuario. c).- Sobre la utilización de cookies, se observa que, antes de cliquear en alguna de las opciones “aceptar”, “denegar” o “ver preferencias” en el banner de información sobre podido ser identificada: “cmmplz_policy_id” y “aiovg_rand_seed”. Si se opta por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 rechazar todas las cookies cliqueando en la opción <<Denegar>>, la web sigue utilizando las cookies indicadas anteriormente y si se opta por aceptar las cookies, se comprueba que la web no utiliza nuevas cookies. Si se opta por acceder al panel de control de cookies cliqueando en la opción <<Ver preferencia>>, se despliega un panel de control, en el cual se observa que los diferentes grupos de cookies están premarcados en la opción “OFF”. Si se desea no utilizar ningún tipo de cookies, mediante la opción <<Denegar>> o <<Guardar preferencias>> sin haber movido el cursor a la posición “ON” en este panel de control, se observa que la web sigue utilizando las cookies detectadas. c).- Se observa que en el banner de información existente en la página principal proporciona información sobre las finalidades para las que se utilizarán las cookies. d).- Respecto de la “Política de Cookies”, se observa que existe un enlace permanente en la parten inferior de la página principal que redirige al usuario a una nueva página donde se informa de qué son las cookies y para qué las usan; qué tipo de cookies pueden utilizar; qué tipo de cookies se utilizan actualmente en la web y como se pueden gestionar las cookies a través de los navegadores instalados en el equipo terminal. FUNDAMENTOS DE DERECHO I. Competencia: Sobre el tratamiento de los datos personales y la “Política de Privacidad”, es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. Sobre la “Política de Cookies”, es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II. Contestación a las alegaciones presentadas por la entidad reclamada En relación con las manifestaciones efectuadas por la parte reclamada, que reproducen básicamente las alegaciones presentadas por la misma durante la tramitación del procedimiento sancionador, sin añadir ningún argumento nuevo, debe señalarse que ya fueron analizadas y desestimadas en el Fundamento de Derecho II de la Propuesta de resolución, de fecha 14/09/23. No obstante, en relación con las manifestaciones efectuadas por la parte reclamada, se procede a dar respuesta a las mismas según el orden por ella expuesto: a). Hace referencia el reclamado a que el denunciante no aporta pruebas de que supuestamente se hayan almacenado sus datos en la web en cuestión. No obstante, el objetivo de este expediente no es determinar si la a través de la web se obtuvieron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 los datos personales del reclamante o no, sino la posibilidad constatada de que la web sí puede obtener datos personales de los usuarios de la misma y por ello debe cumplir con lo estipulado en la normativa vigente en materia de protección de datos personales. b).- Hace referencia el reclamado a que el dominio www.cementeriodemarmotas.com estaba en construcción o pruebas definitivas y contenía números errores que al ser advertidos por el acuerdo de iniciación del expediente sancionador han sido subsanados para demostrar la buena fe y la ausencia de culpabilidad y se debe indicar que, aunque se ha constatado en la comprobación hecha por esta Agencia el día 13/09/23 y 20/11/23 que el responsable de la web ha modificado la política de privacidad y la política de cookies, eso no hace que desaparezca el incumplimiento que quedó probado, cuando esta Agencia realizó la primera comprobación de la web el 24/04/23 donde se detectó incumplimientos al RGPD y a la LSSI. c).- Solicita el reclamado en el punto “segundo” de su escrito de alegaciones a la propuesta de resolución, que se proceda a requerir al denunciante, mediante testifical, la veracidad de los hechos expuestos y que se realicen las pruebas periciales oportunas sobre el contenido del dominio referido con las pruebas aportadas. Al respecto, esta Agencia debe reiterar lo ya expuesto en el escrito de Propuesta de Resolución donde ya se manifestó que, se consideraba que la información obtenida de la página web en cuestión era suficiente para poder dilucidar si existía o no infracción a la normativa vigente en materia de protección de datos y así quedó demostrado a lo largo del procedimiento. Recordar que el presente procedimiento administrativo sancionador se incoa tras haber realizado la AEPD una intensa labor inspectora, que ha quedado documentalmente incorporada al expediente y que constituye suficiente prueba para esta resolución. Por tanto, la apertura del periodo de prueba solicitada por la parte reclamada, para realizar la prueba testifical, se considera que no es necesaria en este caso, en aplicación del principio de “economía procesal”, al estar ya suficientemente acreditados los hechos imputables, y, por tanto, se debe rechazar la solicitud de la práctica de prueba por innecesaria al amparo de lo previsto en el artículo 77.3 de la LPACAP. III.1 Sobre el tratamiento de los datos personales de la web y la “Política de Privacidad” En la comprobación realizada por esta Agencia el pasado día 24/04/23, en la página web www.cementeriodemarmotas.com se pudo comprobar cómo existía la posibilidad de obtener datos personales a través del enlace <<Mas…>>  <<contacto>>, situado en la parte superior de la página principal y en la parte inferior, pero no existía ningún acceso a la “Política de Privacidad de la web, pues el enlace con el título <<Política de Privacidad>> situado en la parte inferior de la página principal se encontraba inactivo. La única información que se suministraba sobre la gestión de los datos personales era a través del enlace existente en el banner de información sobre cookies situado en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 página principal, <<Leer más>>, a través del cual, la web redirigía al usuario a una nueva página https://cementeriodemarmotas.com/politica-de-privacidad-y-cookies/ donde se proporciona, con respecto a la protección de datos de carácter personal, información referenciada a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y al Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En este sentido, se debe indicar que, en la Disposición Derogatoria Única de la LOPDGDD se indica que: 1.Sin perjuicio de lo previsto en la disposición adicional decimocuarta y en la disposición transitoria cuarta, queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal Estableciéndose, en su Disposición final decimosexta, que: “La presente ley orgánica entrará en vigor el día siguiente al de su publicación en el Boletín Oficial del Estado”. Como la publicación de la LOPDGDD fue el 06/12/18, su entrada en vigor se produjo el 07/12/18, quedando derogada a partir de esa fecha la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Por tanto, en el caso que nos ocupa, la falta de información con arreglo a la normativa vigente, sobre el tratamiento de los datos personales cuando se obtuvieron datos personales de los usuarios de la web y la imposibilidad de acceso a la “política de Privacidad” , durante el tiempo que estuvo el enlace sin ser operativo, suponen la vulneración del artículo 13 del RGPD. III.2 Infracción administrativa No resulta controvertido en este caso el hecho de que la parte reclamada es la titular y responsable de la web www.cementeriodemarmotas.com y, por tanto, el responsable de los tratamientos de datos que se obtengas a través de ella. En relación con dicha web, se constató en este caso, por una parte, la falta de información con arreglo a la normativa vigente sobre el tratamiento de los datos personales pues la información existente a través del enlace existente en el banner de información de la página principal hacía referencia a la derogada LOPD y por otra, la imposibilidad de acceso a la “Política de Privacidad” de la web pues su enlace estaba inoperativo. Se considera que estos hechos vulneran lo establecido en el artículo 13 del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
6. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
7. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. III.-3 Sanción El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (...)
8. d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...)
9. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2.
10. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Con respecto a la infracción del artículo 13 del RGPD, se considera que la sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que señala lo siguiente: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. g)las categorías de los datos de carácter personal afectados por la infracción;
20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
25. a)El carácter continuado de la infracción.
26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
30. f)La afectación a los derechos de los menores.
31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas, con respecto a las infracciones cometidas, permite fijar la valoración de la multa en 2.000 euros (mil euros) para la infracción del artículo 13 del RGPD. III.-4 Medidas De acuerdo con lo establecido en el artículo 58.2.
33. d)del RGPD, cada autoridad de control podrá, “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 En este caso, considerando las circunstancias expresadas en relación con los defectos apreciados en el funcionamiento de la web, desde el punto de vista de la normativa de protección de datos, y su posterior adecuación a la normativa, no se estima procedente acordar ninguna medida. IV.-1 Sobre la Política de Cookies de la página web En la comprobación realizada por esta Agencia el pasado día 24/04/23, en la página web www.cementeriodemarmotas.com se pudo comprobar cómo, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se utilizaba cookies que no eran técnicas o necesarias: tres cookies de rendimiento: _gid; _ga_1XZJN7SWGN y _ga y una cookie de orientación: _gat_gtag_UA_59353212_5. Además se comprobó que no era posible rechazar las cookies que no fueran técnicas o necesarias o gestionar su utilización de forma granular a través de un panel de control de cookies, pues éste no existía. También se pudo comprobar como en banner de información sobre cookies que aparecía en la página principal no identificaba las finalidades para las que se utilizaban las También se pudo comprobar la inexistencia de un enlace que posibilitase al usuario redirigirse a la “Política de Cookies” de la web, pues el enlace existente en la página principal se encontraba inactivo. Por tanto, aunque se ha constatado, en las comprobaciones hechas por esta Agencia el día 13/09/23 y el día 20/11/23 que, el responsable de la web ha modificado la política de cookies, eso no hace que desaparezca el incumplimiento que quedó constatado, en la comprobación realizada el pasado 24/04/23, suponiendo la vulneración de lo establecido en el artículo 22.2 de la LSSI. IV.-2 Infracción Administrativa De las deficiencias detectadas, respecto de la política de cookies, en la página web en cuestión: la utilización de cookies de terceros que no eran técnicas o necesarias; la imposibilidad de rechazar las cookies y la imposibilidad de acceso a la información en la “política de cookies”, durante el tiempo que la web estuvo sin ser adaptada suponen la comisión de la infracción del artículo 22.2 de la LSSI, pues establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. IV.-3 Sanción Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Por lo anterior, se estima adecuado imponer una sanción de 2.000 euros, (dos mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD y artículo 22.2 de la LSSI y, tipificada en el artículo 83.5 del RGPD y artículo 38.4.
34. g)de la LSSI, respectivamente, una multa de: a).- 2.000 euros (dos mil euros), por la infracción del artículo 13 del RGPD. b).- 2.000 euros (dos mil euros), por la infracción del artículo 22.2 de la LSSI. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
36. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es