1/5 Procedimiento Nº: PS/00268/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00268/2020, instruido por la Agencia Española de Protección de Datos a la ante la entidad, THE WASHPOINT S.L. con CIF.: B67354894, titular de la página web, http://thewashpoint.com/ , (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes, ANTECEDENTES PRIMERO: Con fecha 02/01/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La página web http://thewashpoint.com carece de Aviso Legal y de Política de privacidad. Tampoco tiene aviso de Cookies. A pesar de ello, utiliza un formulario para recoger datos personales”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 07/02/20 y 18/02/20, se dirigió sendos escritos de requerimiento de información a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada el 07/02/20, a través del servicio de NOTIFIC@, fue rechazado de forma automática en la dirección de destino, el 18/02/20. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la asociación reclamada el 18/02/20, a través del servicio de SICER, fue devuelto a origen con la anotación de “ausente”. TERCERO: Con fecha 08/09/20, por parte de esta Agencia, se consulta la página web denunciada, comprobándose los siguientes aspectos sobre la política de privacidad y la política de cookies implantada en dicha página: A) Respecto de la Política de Privacidad: Se ha comprobado que, en la página web denunciada, http://thewashpoint.com (https://thewashpoint.com/es/franquicia-lavanderias-autoservicio/), NO existe ningún link que redirija a la “política de privacidad”. Solo existe, en la pestaña de <<contacto>> la siguiente información: DIRECCIÓN: THE WASHPOINT S.L.U. C.I.F.: B67354894; calle dels Sentmenat 12; Sabadell, 08203 Barcelona Spain. TELÉFONO +34 693 00 88 71 E-MAIL: hola@thewashpoint.com Además, se constata que en dicha página se requiere aportar el nombre, la localidad, el email y el teléfono de los clientes que desean ponerse en contacto con dicha entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 B) Respecto de la Política de Cookies: b.1.- Al acceder a la página principal de la web, http://thewashpoint.com , (primera capa), se comprueba que, en la parte inferior de la misma, existe un banner con la siguiente información: “Utilizamos cookies propias y de terceros para mejorar nuestros servicios y mostrarte publicidad relacionada con tus preferencias mediante el análisis de tus hábitos de navegación”. <<Política de cookies>>--<<Ok>> b.2.- Si se accede a la página de la “política de cookies”, a través del link correspondiente, se informa, entre otras, sobre: qué son las cookies y qué tipos de cookies utiliza esta página web. Sobre la gestión de las cookies, la página web remite al usuario a configurar el navegador utilizado en su equipo terminal. CUARTO: A la vista de los hechos denunciados de las comprobaciones realizadas por esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 25/09/20, acordó iniciar procedimiento sancionador a la a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2 de la LSSI, respecto a la política de cookies de su página web. QUINTO: Notificada la incoación del expediente el día 09/10/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Respecto de la “Política de Privacidad” de la página web http://thewashpoint.com , se ha comprobado que, en la misma existe la posibilidad de recoger información sobre los datos personales de los usuarios pero no existe ningún link que redirija a la “política de privacidad” o zona donde se le proporcione, la información que, según la legislación vigente en materia de protección de datos en obligatoria ofrecer al usuario en el momento de recoger sus datos personales 2º.- Respecto de la “Política de Cookies”, de la página web, http://thewashpoint.com, se ha comprobado que, en la segunda capa (política de cookies), no existe ningún mecanismo que posibilite rechazar las cookies, remitiendo al usuario a configurar el navegador utilizado en su equipo terminal si desea gestionar la utilización de las mismas. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. De las actuaciones practicadas, con relación a la “Política de Privacidad” y a la “Política de Cookies”, de la página web reclamada, http://thewashpoint.com, se ha constatado los siguientes aspectos: Respecto de la “Política de Privacidad”, se ha comprobado que, en la misma existe la posibilidad de recoger información sobre los datos personales de los usuarios, pero no existe ningún link que redirija a la “política de privacidad” o zona donde se le proporcione, la información que, según la legislación vigente en materia de protección de datos en obligatoria ofrecer al usuario en el momento de recoger sus datos personales. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Información que debería aparecer en la “política de privacidad” de la página web. Por tanto, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD. Por su parte, el artículo 72.1.
- h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el art. 83.2 del RGPD: - La categoría de los datos de carácter personal afectados por la infracción, (apartado g). - Por la forma en que esta AEPD ha tenido conocimiento de la infracción, a través de la denuncia interpuesta por un particular, (apartado h). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 permite fijar una sanción de 1.000 euros, (mil euros), respecto de la inexistencia de “política de privacidad”, en la página web denunciada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 III Respecto de la “Política de Cookies”, de la página web, se ha comprobado que, en la segunda capa (política de cookies), no existe ningún mecanismo que posibilite rechazar las cookies, remitiendo al usuario a configurar el navegador utilizado en su equipo terminal si desea gestionar la utilización de las mismas. Los hechos expuestos suponen por parte de la entidad reclamada, la comisión de una infracción al artículo 22.2 de la LSSI. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 1.000 euros (mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Con lo que, se estima adecuado imponer a la entidad reclamada, una sanción total de 2.000 euros (dos mil euros) = 1.000 euros por infracción del artículo 13 del RGPD y 1.000 euros por infracción del artículo 22.2 de la LSSI. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE IMPONER: a la entidad, THE WASHPOINT S.L. con CIF.: B67354894, titular de la página web, http://thewashpoint.com/ , dos sanciones, respecto a la política de privacidad y respecto de la política de cookies en la página web de su titularidad, consistente en: - 1.000 euros (mil euros), por la infracción del artículo 13) del RGPD, respecto de la política de privacidad de su página web. - 1.000 euros (mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de su Política de Cookies. REQUERIR: a la entidad, THE WASHPOINT S.L., para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas necesarias para: - Adecuar la política de privacidad de la página web de su titularidad a lo estipulado en el artículo 13 del RGPD. - Se incorpore la información necesaria sobre cookies en la página web y se habilite un mecanismo que permita rechazar todas las cookies. NOTIFICAR: la presente resolución a la entidad THE WASHPOINT S.L. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es