1/4 Procedimiento Nº: PS/00264/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00264/2020, instruido por la Agencia Española de Protección de Datos a la ASOCIACIÓN DE AFECTADOS POR LAS ASOCIACIONES DE CONSUMIDORES, con CIF.: G88568985, titular de la página web, www.asocapac.com , (en adelante, “la asociación reclamada”), en virtud de denuncia presentada por la asociación, FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN, (en adelante, “la asociación reclamante”), y teniendo como base los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/01/20, tiene entrada en esta Agencia, denuncia presentada por la asociación reclamante en la que indicaba, entre otras, lo siguiente: “Que desde esta asociación hemos podido comprobar cómo en la página web www.asocapac.com no se recoge “aviso legal” (ni apartado similar) ni información relativa al tratamiento de datos personales de ningún tipo, lo que puede resultar contrario, por un lado, al contenido de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico y, por otro lado, a la normativa vigente en materia de protección de datos. Igualmente, desde FACUA hemos podido comprobar que la Asociación de Consumidores afectados por las Asociaciones de Consumidores (ASOCAPAC), a la que supuestamente pertenece esta página web, no se encuentra registrada, en contra de lo que se indica en esta misma web, en ningún registro público, tal como nos han informado directamente desde el Ministerio General de Sanidad Consumo y Bienestar Social y, más concretamente, desde la subdirección general de arbitraje (quien posee las competencias en el registro de asociaciones de consumidores y usuarios). Dicho con otras palabras, todo parece indicar que nos encontramos ante una asociación inexistente y ante una página web con alguna clase de intención maliciosa con respecto de aquellas personas que accediesen a la misma. Hemos podido observar como en la página web https://www.asocapac.com/ se hace uso de archivos cookies sin avisar de ninguna forma al usuario de dicha web de la utilización de esta clase de archivos. Asimismo, esta web publicita dos direcciones de correo electrónico que tienen por objeto que los usuarios de esta plataforma escriban a las mismas lo que, consecuentemente, debe implicar el tratamiento de datos personales (como mínimo, el tratamiento de la dirección de email de la persona que envíe la comunicación correspondiente)”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Así, con fecha 27/02/20 y 12/03/20 se dirigió sendos escritos de requerimiento de información a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la asociación reclamada el 27/02/20, a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 del servicio de NOTIFIC@, fue rechazado de forma automática en la dirección de destino el 10/03/
- Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la asociación reclamada el 12/03/20, a través del servicio de SICER, fue recogida en destino el 03/06/20, por D. A.A.A.. ***NIF.
- TERCERO: Con fecha 16/09/20, por parte de esta Agencia, se consulta la página web denunciada, comprobándose los siguientes aspectos sobre la política de privacidad y la política de cookies implantada en dicha página: A) Respecto de la Política de Privacidad: En la página web https://www.asocapac.com/, a través de la pestaña, <<contacto>>, situada en la parte superior de la página, se despliega un formulario donde se recogen datos personales de los usuarios, como el nombre y la dirección de correo electrónico. En la parte inferior de la página web existe un link, <<Política de Privacidad>>, a través del cual, se redirige a la página, https://www.asocapac.com/politica-de-privacidad/ , donde se informa de: la identidad del responsable; Los principios aplicados en el tratamiento de datos; La obtención de datos personales; Cómo oponerse al tratamiento; la finalidad del tratamiento de datos personales; la seguridad de los datos personales; el contenido de otros sitios web; la Política de Cookies; la legitimación para el tratamiento de datos; las categorías de datos personales; los destinatarios de datos personales; la aceptación y consentimiento y la revocabilidad del consentimiento. B) Sobre la Política de Cookies: b.1.) Al acceder a la página principal de la web denunciada, (primera capa), existe un banner de información sobre cookies en la parte inferior de la misma, con la siguiente leyenda: “Este Web utiliza cookies propias y de terceros para ofrecerle una mejor experiencia y servicio. Al navegar o utilizar nuestros servicios el usuario acepta el uso que hacemos de las cookies”. <<Cookie settings>> -- <<ACCEPT>> b.2.) Si se accede a la política de cookies, (segunda capa), a través del link << Cookie Settings>>, o a través del link existente en la página de la política de privacidad <<Política de Cookies>>, se redirige a la página despliega una página https://www.asocapac.com/politica-de-cookies/ , donde se proporciona información sobre: qué son las Sobre el proceso para desactivar las cookies la web remite al usuario a que configure el navegador instalado en su equipo terminal. CUARTO: A la vista de los hechos denunciados de las comprobaciones realizadas por esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 22/09/20, acordó iniciar procedimiento sancionador a la a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2 de la LSSI, respecto a la política de cookies de su página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 QUINTO: Notificada la incoación del expediente el día 03/10/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Al acceder a la página inicial existe un banner sobre cookies, que proporciona información poco concisa o inteligible, ya que al utilizar la expresión: “Este Web utiliza 2º.- Si se accede a la política de cookies, (segunda capa), a través del link << Cookie Settings>>, o a través del link existente en la página de la política de privacidad <<Política de Cookies>>, se proporciona información sobre: qué son las cookies o para qué utilizan las cookies propias y de terceros, pero falta información sobre la identificación y el tiempo que estarán activas. Tampoco existe un mecanismo que permita rechazar todas las cookies. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. De las actuaciones practicadas, con relación a la “Política de Cookies”, de la página web reclamada, https://www.asocapac.com/ se ha constatado los siguientes aspectos: Al acceder a la página inicial existe un banner sobre cookies, que proporciona información poco concisa o inteligible, ya que al utilizar la expresión: “Este Web utiliza inducen a confusión, desvirtuando la claridad que debe tener el mensaje. En la segunda capa, (política de cookies), se proporciona información sobre, qué son las cookies o para qué utilizan las cookies, pero falta información sobre la identificación y el tiempo que estarán activas. Tampoco existe un mecanismo que permita al usuario rechazar todas las cookies. Los hechos expuestos suponen por parte de la entidad reclamada, la comisión de una infracción al artículo 22.2 de la LSSI. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de “APERCIBIMIENTO”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la ASOCIACIÓN DE AFECTADOS POR LAS ASOCIACIONES DE CONSUMIDORES, con CIF.: G88568985, titular de la página web, www.asocapac.com, por la infracción del artículo 22.2) de la LSSI, respecto de su política de cookies en la página web de su titularidad. REQUERIR: a la ASOCIACIÓN DE AFECTADOS POR LAS ASOCIACIONES DE CONSUMIDORES para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adaptar la página web de su titularidad, adecuando la política de cookies, modificando el banner de la primera capa, introduciendo información con un lenguaje claro y sencillo, evitando el uso de frases que induzcan a confusión o desvirtúen la claridad del mensaje y ampliando la información existente en la segunda capa identificando las cookies y el tiempo que permanecen activas. Además, debe implementar un mecanismo que posibilite el rechazo de todas las cookies. NOTIFICAR: la presente resolución a la ASOCIACIÓN DE AFECTADOS POR LAS ASOCIACIONES DE CONSUMIDORES. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es