PS-00248-2020

1/4  Procedimiento Nº: PS/00248/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00248/2020, instruido por la Agencia Española de Protección de Datos, ante Dª A.A.A., titular de la página web, ***URL.1, (en adelante, “la persona reclamada”), en virtud de denuncia presentada por Dª B.B.B., (en adelante, “la reclamante”), y teniendo como base los siguientes: ANTECEDENTES: PRIMERO: Con fecha 18/12/19, tiene entrada en esta Agencia, denuncia presentada por la reclamante en la que indicaba, entre otras, lo siguiente: “La página web ***URL.1 se anuncia como criadora y vendedora de gatos, figurando sus datos de contacto al pie de la página web. Contraviniendo con lo establecido en el artículo 38.4. C de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, no figura información alguna sobre la utilización de “cookies” en dicho sitio web. Así mismo, tampoco consta la información requerida en los artículos 13 a 18 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ni se informa del uso que se va a hacer de los datos recabados en el formulario de contacto”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 17/02/20 y 17/06/20, se dirigen sendos requerimientos informativos a la persona reclamada. Según certificado de la Sociedad Estatal Correos y Telégrafos, los requerimientos enviados a la persona reclamada el 17/06/20 y el 17/06/20, a través del servicio de SICER, fueron devueltos a origen por el servicio de correos con el mensaje de “ausente” y “no recogido del servicio de lista de correos”. TERCERO: Con fecha 10/08/20, por parte de esta Agencia, se consulta la página web denunciada, comprobándose los siguientes aspectos sobre la política de privacidad y la política de cookies implantada en dicha página: A).- Respecto de la Política de Privacidad: Se ha comprobado que, en la página web ***URL.1, a través de la pestaña, <<contacto>>, situada en la parte superior de la página, se despliega un formulario que el interesado debe rellenar con sus datos personales: nombre y dirección de correo electrónico, pero NO existe, en la página web denunciada, ningún link que redirija a la “política de privacidad”. Solo existe, en la parte inferior de la página el siguiente banner: “La Senda XXXXXXXX - ***URL.1 – C.C.C. y D.D.D. ***TELÉFONO.1 / ***TELÉFONO.2 ***DIRECCIÓN.1 (***LOCALIDAD.1) España”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 B).- Respecto de la Política de Cookies: Al acceder a la página principal de la web, ***URL.2, (primera capa), se comprueba que NO existe ningún banner de información sobre cookies. Tampoco existe ningún link que redirija a la política de cookies. CUARTO: Con fecha 09/09/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el art. 13 del RGPD, con una sanción de apercibimiento y por incumplimiento del art. 22.2 de la LSSI, con una sanción de apercibimiento. QUINTO: Notificada la incoación del expediente el día 09/10/20 a través del “Tablón Edictal Único”, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Sobre la política de privacidad de la página web denuncia, se ha comprobado, que no existe ningún link que redirija a la “política de privacidad”. Solamente existe un banner de información en la parte inferior de la página con la siguiente leyenda: “La Senda XXXXXXXX - ***URL.1 – C.C.C. y D.D.D. ***TELÉFONO.1 / ***TELÉFONO.2 ***DIRECCIÓN.1 (***LOCALIDAD.1) España”. 2º.- Con relación a la “Política de Cookies”, de la página web denunciada, se ha comprobado, que no existe ningún banner de información sobre cookies en la página principal de la web. Tampoco existe ningún link que redirigir a la política sobre cookies. FUNDAMENTOS DE DERECHO I Competencia: Sobre la Política de Privacidad: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Sobre la Política de Cookies: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Sobre la política de privacidad de la página web denuncia, se ha comprobado, que no existe ningún link que redirija a la “política de privacidad”. Solamente existe un banner de información en la parte inferior de la página con la siguiente leyenda: “La Senda XXXXXXXX - ***URL.1 – C.C.C. y D.D.D. ***TELÉFONO.1 / ***TELÉFONO.2 ***DIRECCIÓN.1 (***LOCALIDAD.1) España”. los hechos conocidos son constitutivos de una infracción, imputable a la reclamada, por vulneración del artículo 13 del RGPD. Por su parte, el artículo 72.1.

1. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
2. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
3. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “APERCIBIMIENTO”, por la infracción del artículo 13 del RGPD, respecto a la inexistencia de política de privacidad en su página web. III Con relación a la “Política de Cookies”, de la página web denunciada, se ha comprobado, que no existe ningún banner de información sobre cookies en la página principal de la web. Tampoco existe ningún link que redirigir a la política sobre cookies. Los hechos expuestos suponen, por parte de la reclamada, la comisión de la infracción del artículo 22.2 de la LSSI. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de “APERCIBIMIENTO”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a Dª A.A.A., titular de la página web, ***URL.1, por la infracción de los artículo 13 del RGPD, en lo que respecta a la política de privacidad y por infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web denunciada. REQUERIR: a Dª A.A.A., para que, en el plazo de un mes, a contar desde la notificación de esta resolución, adecue la página web de su titularidad para incluir información en su política de privacidad, acorde con lo estipulado en el artículo 13 del RGPD, e incluir en su página web información referente a la política de cookies. NOTIFICAR: la presente resolución a Dª A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es