PS-00240-2020

1/6  Procedimiento Nº: PS/00240/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00240/2020, instruido por la Agencia Española de Protección de Datos, a D. A.A.A., titular de la página web, ***URL.1, (en adelante, “la persona reclamada”), en virtud de denuncia presentada por D. B.B.B., (en adelante, “el reclamante”), y teniendo como base los siguientes, ANTECEDENTES PRIMERO: Con fecha 01/06/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La web denunciada, ***URL.1 no cumple con la ley RGPD. En el apartado de cookies, no especifican que cookies utilizan, solo si las acepto o las acepto, no hay opción real. No avisa del uso de los datos a la hora de enviar el formulario de contacto, información escueta, es más, dicen que pueden ceder mis datos a terceros ...”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 20/06/20, se dirigió escrito de requerimiento de información a la entidad reclamada. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la persona reclamada el 20/06/20, a través del servicio de SICER, fue devuelta a origen por el servicio de correos con el mensaje de “dirección incorrecta”. TERCERO: Con fecha 10/08/20, por parte de esta Agencia, se consulta la página web denunciada, comprobándose los siguientes aspectos sobre la política de privacidad y la política de cookies implantada en dicha página: A) Respecto de la Política de Privacidad: La página web ***URL.1, a través de la pestaña, <<contacto>>, situada en la parte superior de la página, se despliega un formulario que el interesado debe rellenar con sus datos personales, nombre, dirección de correo electrónico y teléfono: a.1) En la parte inferior de la página inicial de la web, a través del link, <<Privacidad>>, se despliega una página con la siguiente información: “En cumplimiento de lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que, mediante la cumplimentación del presente formulario, sus datos personales quedarán incorporados y serán tratados en un fichero automatizado (pudiendo ejercitar los derechos de acceso, rectificación, cancelación y oposición, escribiendo a ***EMAIL.1 cuyo responsable es ***URL.1, debidamente inscrito en la AEPD, titularidad de ckcreativos.com con la finalidad de poder gestionar su soC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 licitud, así como para mantenerle informado de promociones, noticias y novedades relacionadas. - Finalidad del tratamiento de datos: Los datos personales de los usuarios se incorporarán en ficheros de ***URL.1. con las finalidades de gestión de clientes y de prospección comercial y publicidad, incluyendo el envío (vía postal, e-mail, SMS o cualquier otro medio de comunicaciones comerciales sobre productos, servicios, ofertas, promociones y noticias que ***URL.1 considere de su interés. - Cesión de datos de terceros: Para fines directamente relacionados con las finalidades indicadas, los datos personales de los usuarios se podrán ceder a otras empresas del Grupo ***URL.1 o a sus proveedores/colaboradores, que pueden estar localizados en países fuera del EEE, incluyendo aquellos países que no tienen un nivel de protección de datos equiparable”. a.2). En la parte inferior de la página inicial de la web, a través del link, << Aviso Legal>>, se despliega una página con la siguiente información: “El contenido de esta página es propiedad de A.A.A.. Para dar cumplimiento a lo establecido en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, a continuación, indicamos los datos de la información general de nuestro sitio web. Además de la identificación del responsable de la página, se proporciona información sobre las condiciones de uso de la web, el uso correcto del sitio web o la propiedad Intelectual”. a.3). En la parte inferior de la página inicial de la web, a través del link, <<Términos y Condiciones>>, se despliega una página, con información sobre la legislación aplicable, cómo realizar los pagos o los sobre los derechos de desistimiento de las compras. B) Sobre la Política de Cookies: b.1.) Al acceder a la página principal de la web, www.ckcreativos.com, (primera capa), existe un banner de información sobre cookies en la parte inferior de la misma, con la siguiente leyenda: “este sitio utiliza Cookies para mejorar la experiencia de usuario y sus políticas han sido adaptadas al RGPD. Click <<aquí>> para más información. <<ACEPTAR>> En el mismo banner, se pueden gestionar las cookies de tipo estadístico y las cookies de marketing, con la posibilidad de desactivarlas si el usuario lo desea. b.2.) Si se accede a la política de cookies, (segunda capa), a través del link <<más información>>, o a través del link existente en la parte inferior de la página <<política de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 “ckcreativos.com, así como la amplia mayoría de sitios en la Web usa "cookies" para mejorar la experiencia de usuario. Este uso implica cookies propias y de terceros. (Recuerda que las cookies son archivos de texto plano, no mayores de 5Kb totalmente inofensivas para tu ordenador). En ***URL.1 usamos cookies propias principalmente para personalizar la navegación, por ejemplo, recordar el usuario con el que te has dado de alta, y así no tener que pedirte la clave más adelante en siguientes accesos. Además, usamos cookies de terceros por los anunciantes del sitio. El sitio web de Soltury también se mantiene gracias a la publicidad y los anunciantes que tenemos, así como las redes de anuncios que utilizamos, usan las cookies para mostrar publicidad más acorde a tu perfil. Esas cookies de terceros no las controlamos nosotros, pues dependen de las "networks" de anunciantes que usamos. También terceros pueden instalar cookies en tu navegador para monitorizar accesos al sitio, para nuestro sistema de estadísticas de visitantes. Entendemos, al igual que todos los otros sitios de Internet que visitas en tu día a día, que con la navegación por ckcreativos.com aceptas que se instalen las En la misma página, se pueden gestionar las cookies de tipo estadístico y las cookies de marketing, con la posibilidad de desactivarlas si el usuario así lo desea: - Cookies estadísticas: - Cookies marketing: ok<<>>desactivar. ok<<>>desactivar. CUARTO: A la vista de los hechos denunciados de las comprobaciones realizadas por esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 02/09/20, acordó iniciar procedimiento sancionador a la a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 13 del RGPD y 22.2 de la LSSI. QUINTO: Notificada la incoación del expediente el día 03/11/20, a través del Tablón Edictal Único, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Sobre la Política de Privacidad de la página web denunciada, se ha podido comprobar que la misma sigue informando y aplicando aspectos relacionados con la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 2ª.- Sobre la Política de Cookies de la página web, se ha comprobado que, en la misma, al acceder a la página ***URL.1, en la primera capa, el banner sobre las cookies, proporciona información poco concisa, transparente o inteligible. Si se accede a la política de cookies (segunda capa), a través del link <<más información>>, o a través del link existente en la parte inferior de la página, <<política de las cookies o para qué utilizan las cookies propias y de terceros. También es posible gestionar la instalación o no de las cookies estadísticas y de marketing. No obstante, en esta página falta información sobre aspectos como, la identificación y el tiempo que estarán instaladas en el equipo terminar las cookies propias y las de terceros. FUNDAMENTOS DE DERECHO I Competencia: - Sobre la Política de Privacidad: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. - Sobre la Política de Cookies: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Sobre los aspectos relacionados con la política de privacidad de la página web denuncia, destacar que la misma sigue informando y aplicando aspectos relacionados con la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. El artículo 99 del RGPD indica, sobre la entrada en vigor y aplicación del nuevo RGPD que: “El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16) y será aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18, quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa fecha, el RGPD y a partir del 07/12/18 la nueva LOPDGDD. El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Información que debería aparecer en la “política de privacidad” de la página web en cuestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por tanto, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “APERCIBIMIENTO”, por la infracción del artículo 13 del RGPD. III Con relación a la “Política de Cookies”, de la página web reclamada, se han constatado que, al acceder a la página ***URL.1, en la primera capa, el banner sobre cookies, proporciona información poco transparente o inteligible, además, si se accede a la política de cookies (segunda capa), se comprueba que falta información sobre aspectos como, la identificación y el tiempo que estarán instaladas en el equipo terminal. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de “APERCIBIMIENTO”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: IMPONER a D. A.A.A. , titular de la página web, ***URL.1 una sanción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 - Apercibimiento, por la infracción del artículo 13) del RGPD, respecto de la inexistencia de política de privacidad en la web de su titularidad adaptada a la nueva normativa sobre protección de datos. - Apercibimiento, por la infracción del artículo 22.2) de la LSSI, respecto de su política de cookies. SEGUNDO: REQUERIR a D. A.A.A., para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adaptar la página web de su titularidad, conforme a la legislación vigente, - Adecuar la política de privacidad de la página web de su titularidad a lo estipulado en el artículo 13 del RGPD adecuándola a la nueva normativa vigente. - Adecuar la política de cookies de su página web, modificando el banner de la primera capa, introduciendo información con un lenguaje claro y sencillo, evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del mensaje y ampliando la información existente en la segunda indicando, cuáles son las cookies propias y de terceros que se instalan en el equipo terminal y cuánto tiempo se quedan activadas. TERCERO: NOTIFICAR la presente resolución a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es