PS-00269-2020

1/7  Procedimiento Nº: PS/00269/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00269/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, , ORNA COMUNICACION, S.L. con CIF.: B64508955, titular de la página web https://www.catalunyapress.es/, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”) y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 13/01/20, tuvo entrada en esta Agencia, denuncia presentada por el reclamante, en la que indicaba, entre otras, lo siguiente: “La página https://www.catalunyapress.es/ , a pesar de tener disponible una política de privacidad (integrada en el Aviso Legal), recoge datos personales para publicar comentarios a las noticias que publica y para suscribirse a su “newsletter”, sin que en dichos formularios sea necesario prestar el consentimiento para el tratamiento de los datos personales mediante casilla alguna ni mostrando enlace a la política de privacidad, contraviniendo con ello lo dispuesto en la normativa vigente”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 27/02/20, se dirige requerimiento informativo a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento realizado a la entidad reclamada, a través del servicio de notificaciones NOTIFIC@, realizado el 27/02/20, fue aceptado en origen con fecha 28/02/20. TERCERO: Con fecha, 05/08/20, y al no haber recibido en esta Agencia ningún tipo de información ni documentación de la entidad reclamada, referente al requerimiento realizado, ser dictó acuerdo de admisión a trámite por parte de la Directoria de la Agencia Española de Protección de Datos. CUARTO: Con fecha 20/09/20, por parte de esta Agencia se comprueba que la página web denunciada contiene los siguientes aspectos, respecto de su política de privacidad y el consentimiento solicitado a los subscriptores: 1º.- La página web denunciada tiene la opción de suscribirse a las “newsletter” del diario digital, “catalunyapress”, a través del enlace indicado con el logo de “correo”, que se encuentra en la parte superior derecha de la página, desde donde la web redirige a una nueva página, https://billing.bigpress.net/visitorsuscribe/suscribe/457 , donde se pueden recoger los datos personales del suscriptor, nombre, apellidos, fecha de nacimiento y el correo electrónico. No obstante, para poder suscribirse, el interesado debe aceptar previamente la “política de privacidad” y la información existen en el “aviso legal” . También debe marcar obligatoriamente la casilla: “_ al hacer clic en suscribirse usted está aceptando recibir comunicaciones de catalunyaspress”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 2º.- Si se accede a la “política de privacidad” a través del enlace existente en esta página, la web se redirige a la página: https://bigpress.net/index/legal_privacidad , en la que se despliega información sobre: la normativa aplicable; los datos que se recogen; sobre el tratamiento de los datos; sobre la finalidad de los datos personales recogidos; sobre los Derechos de los usuarios y sobre la legislación complementaria. CUARTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 30/09/20, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 13 y 7 del RGPD. QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 21/10/20, formuló, en síntesis, las siguientes alegaciones: “El acuerdo notificado viene motivado por una reclamación planteada por un usuario y, según los fundamentos de derecho contenidos en la resolución, el procedimiento sancionador se plantea por dos aspectos relacionados con la adecuación a la legislación vigente en la recogida de datos para la suscripción a la “newsletter" del sitio web, así como la finalidad por la que se solicita el consentimiento del afectado para el envío de comunicaciones. Pues bien, como se detalla en la resolución notificada, el enlace por el cual se recogen los datos del interesado, y se solicita su consentimiento tanto para su tratamiento, como para el envío de comunicaciones, dirige al sitio web www.bigpress.net, quien resulta ser el hosting en el que se aloja el sitio web de mi representado, esto es www.catalunyapress.es, así como resulta el responsable de adecuar a la normativa vigente los términos de su política de privacidad. Por tanto, ORNA COMUNICACIÓN, S.L. no resulta el responsable por cualquier tipo de infracción o inadecuación a la normativa vigente que conste alojada en el sitio web www.bigpress.net ya que no es de su titularidad. No obstante, lo anterior, actualmente, la política de privacidad del sitio web www.bigpress.net , cumple con las estipulaciones contenidas en el Reglamento General sobre Protección de Datos (RGPD 2016/679), así como en la vigente Ley Orgánica 3/2018, de 5 de diciembre, y, en particular, lo dispuesto en el artículo 13 y concordantes del Reglamento. Se acompaña, como DOCUMENTO ANEXO NÚMERO DOS, política de privacidad del sitio web www.bigpress.net, a la cual puede accederse a los efectos de su oportuna comprobación. Como puede observarse, dicha política de privacidad incluye toda la información que preceptúa la normativa vigente, haciendo expresa referencia al Reglamento UE 2016/679, así como a la Ley Orgánica 3/2018, incluyendo la información al interesado sobre los datos recogidos, su finalidad, la calidad de estos y su tratamiento, así como todos los derechos de los que dispone, incluyendo la información sobre la posibilidad de efectuar una reclamación ante la Autoridad competente. ORNA COMUNICACIÓN, S.L. ha tomado las oportunas decisiones en el momento en que ha sido notificada del acuerdo de inicio de expediente sancionador, comunicando la posible incidencia al responsable del sitio web www.bigpress.net y, por tanto, ha seguido la actitud proactiva en cuanto a incidencias que puedan afectar a la protección de datos“ que viene establecida en el Reglamento. Se acompaña, como DOCUMENTO ANEXO NÚMERO TRES, documento suscrito por el responsable del sitio web www.bigpress.net, por el cual asumen su responsabilidad en cuanto a posibles incidencias. Por consiguiente, ORNA COMUNICACIÓN, SL. ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 desplegado toda la diligencia debida en cuanto a posibles incidencias, dando cumplimiento a las estipulaciones de la normativa vigente. Por todo lo expuesto, entendemos que ORNA COMUNICACION, SL., por un lado, no puede considerarse responsable de las inadecuaciones que presenta la política de privacidad del sitio web www.bigpress.net , ya que no es de su titularidad y no depende de aquélla la adecuación de su política de privacidad y, por otro lado, ha tomado las medidas necesarias en cuanto a las incidencias que hayan podido detectarse. En consecuencia, entendemos que procede dictar resolución por la cual se acuerde el archivo del expediente, sin más trámite”. Por lo que respecta a los documentos aportados por la entidad reclamada, entre otras, se especifica: a).- Documento Nº 2.- En la “Política de Privacidad”, de la web www.bigpress.net (https://bigpress.net/es/legal_privacidad ), se especifica que: “Responsable del Tratamiento: BIGPRESS S.L. (en adelante LA EMPRESA); Nombre Comercial: BIGPRESS;CIF: B94186517 “En Bigpress CMS te ayudamos a hacer un periódico digital a la altura de los grandes. Un CMS para periódicos online que facilita la vida profesional de los periodistas. Nunca diseñar tu periódico fue tan fácil. Un gestor de contenidos online con el que podrás diseñar portadas, editar noticias e imágenes. Una redacción online para publicaciones digitales que permite organizar de forma centralizada el trabajo de tus redactores, fotógrafos, publicistas, etc.” b).- Documento Nº 3.- documento suscrito por el responsable del sitio web www.bigpress.net, “BIGPRESS S.L. es proveedor de ORNA COMUNICACION, S L, en adelante el CLIENTE. Además, es la empresa encargada del desarrollo de la web www.catalunyapress.es perteneciente al CLIENTE. Por lo tanto, es responsable de la implementación técnica de las medidas que el CLIENTE indique para la correcta adecuación de su sitio web a la normativa legal en lo relativo a protección de datos. Como encargada de tratamiento de datos será responsable de que el tratamiento de datos se adapte al acuerdo que se firmará con el CLIENTE”. SEXTO: Con fecha 01/12/20, por parte de esta Agencia, se comprueba que en la página web denuncias, su “política de privacidad”: (https://www.catalunyapress.es/estatica/aviso-legal) , ha sido modifica, ajustándola ahora a la normativa vigente sobre protección de datos de carácter personal. SÉPTIMO: Con fecha 10/12/20, se notifica a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se “APERCIBA” a la entidad por infracción del artículo 7 del RGPD, en lo que respecta a la recogida del consentimiento de los usuarios del periódico digital, para el tratamiento de sus datos personales cuando dicho tratamiento sea para fines diferentes al envío de las “newsletter” del periódico y por infracción del artículo 13 del RGPD sin requerimiento de medidas a tomar. OCTAVO: Tras la notificación de la propuesta de resolución, no se ha recibió ningún tipo de alegaciones a la propuesta de resolución, en el tiempo concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 HECHOS PROBADOS 1.- Con fecha 20/09/20, se comprobó, por parte de esta Agencia que, la página https://www.catalunyapress.es/ , tenía la opción de suscribirse a las “newsletter” del diario digital, “catalunyapress”, a través del enlace indicado con el logo de <<correo>>, situado en la parte superior derecha de la página. A través de dicho enlace, se redirigía a la página, https://billing.bigpress.net/visitorsuscribe/suscribe/457 , donde, en el formulario existente, podían recogen datos personales de los suscriptores, como el nombre, los apellidos, fecha de nacimiento y el correo electrónico. Se comprobó además que, en la política de privacidad de la página web denunciada se seguía haciendo referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2.- Para poder suscribirse a las “newsletter” del diario digital, el interesado debía aceptar previamente la “política de privacidad” y la información existen en el “aviso legal”, marcando previamente la casilla correspondiente, pero también debía marcar obligatoriamente la casilla: “_ al hacer clic en suscribirse usted está aceptando recibir comunicaciones de catalunyaspress”. 3.- En las alegaciones de la entidad reclamada, se indicaba, entre otras, que: “el enlace por el cual se recogen los datos del interesado, y se solicita su consentimiento tanto para su tratamiento, como para el envío de comunicaciones, dirige al sitio web www.bigpress.net , quien resulta ser el hosting en el que se aloja el sitio web de mi representado, esto es www.catalunyapress.es (…). Por tanto, ORNA COMUNICACIÓN, S.L. no resulta el responsable por cualquier tipo de infracción o inadecuación a la normativa vigente que conste alojada en el sitio web www.bigpress.net, ya que no es de su titularidad (…)”. 4.- En la “Política de Privacidad”, de la web www.catalunyapress.es , consultada en 01/12/20, a través del enlace, <<aviso legal>>, situado en la parte inferior de la página, (https://www.catalunyapress.es/estatica/aviso-legal ), se proporciona la siguiente información: “titular del sitio web: ORNA COMUNICACIÓN, SL CIF: B64508955” “POLÍTICA DE PRIVACIDAD: ORNA COMUNICACIÓN, SL garantiza la privacidad de los datos de carácter personal aportados, según el Reglamento General de Protección de Datos (RGPD). La visita a esta página web no supone que el usuario esté obligado a facilitar ninguna información sobre sí mismo, no obstante, durante la visita es posible que se soliciten datos de carácter personal a través de formularios. Dichos datos serán incorporados a un fichero responsabilidad de ORNA COMUNICACIÓN, SL y serán utilizados con la finalidad de contestar la solicitud realizada por su parte y para enviarles información de nuestra empresa y servicios por cualquier medio de comunicación. Al enviarnos dicho formulario, usted está aceptando explícitamente la recepción de estos. Estos datos se cancelarán a petición suya o una vez satisfecho la finalidad para la que fueron recabados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 5.- En la “Política de Privacidad”, de la web, www.bigpress.net , (https://bigpress.net/es/legal_privacidad) , se especifica que, el responsable del tratamiento de datos de la página web, es BIGPRESS S.L. La web tiene por objeto, según se especifica en la misma que, “ayudar a hacer un periódico digital a la altura de los grandes. Un CMS para periódicos online que facilita la vida profesional de los periodistas. Nunca diseñar tu periódico fue tan fácil. Un gestor de contenidos online con el que podrás diseñar portadas, editar noticias e imágenes. Una redacción online para publicaciones digitales que permite organizar de forma centralizada el trabajo de tus redactores, fotógrafos, publicistas, etc.”. 6.- En el documento Nº 3, aportado por la entidad reclamada en sus alegaciones, se indica: “BIGPRESS S.L. es proveedor de ORNA COMUNICACION, S L, en adelante el CLIENTE. Además, es la empresa encargada del desarrollo de la web www.catalunyapress.es perteneciente al CLIENTE. Por lo tanto, es responsable de la implementación técnica de las medidas que el CLIENTE indique para la correcta adecuación de su sitio web a la normativa legal en lo relativo a protección de datos. Como encargada de tratamiento de datos será responsable de que el tratamiento de datos se adapte al acuerdo que se firmará con el CLIENTE”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, se debe indicar lo siguiente: 1º.- Consultada la política de privacidad de la página web denunciada, con fecha 01/12/20, se ha podido constatar que, se ha modificado, estando adaptada a la nueva normativa vigente sobre protección de datos recogido en el RGPD. 2º.- No obstante, respecto de las alegaciones presentadas por la entidad reclamada, se debe aclarar que, en el mismo RGPD, artículo 4.7 y 4.8, se identifica al responsable del tratamiento de los datos personales como, “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento (…)”; y al encargado del tratamiento de los datos personales como, “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Por tanto, en el presente caso, el responsable del tratamiento de los datos personales que se recogen a través de la página web www.catalunyapress.es , es el titular de la dicha página, esto es, ORNA COMUNICACION, S.L., independientemente de donde se encuentre alojada dicha página, pues la finalidad de dicho tratamiento es para el envío de las “newsletter” del periódico digital, además de recibir “comunicaciones de catalunyaspress”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Si la página web www.catalunyapress.es, está alojada en el sitio web www.bigpress.net, ésta última actuaría como encargado del tratamiento de los datos, y siempre en base a las indicaciones que reciba del responsable del tratamiento de los datos, y así se especifica en el documento Nº 3, adjuntado por la entidad reclamada: “BIGPRESS S.L. es proveedor de ORNA COMUNICACION, S L, en adelante el CLIENTE”, además de ser la empresa encargada del desarrollo de la web www.catalunyapress.es perteneciente al CLIENTE. Por lo tanto, la entidad BIGPRESS SL, es responsable de la implementación técnica de las medidas que el CLIENTE (ORNA COMUNICACIÓN SL), indique para la correcta adecuación de su sitio web a la normativa legal sobre protección de datos, pues como encargada de tratamiento de datos, será responsable de que el tratamiento de datos se adapte al acuerdo con el CLIENTE. Por tanto, tal y como indica el artículo 7 del RGPD, “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2.Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3.El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4.Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: APERCIBIR: a la entidad ORNA COMUNICACION, SL. con CIF.: B64508955, titular de la página web https://www.catalunyapress.es/ por infracción de los artículos 7 y 13 del RGPD. NOTIFICAR: la presente resolución a la entidad ORNA COMUNICACION, SL. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es