← España

PS-00283-2015

1/7 Procedimiento Nº PS/00283/2015 RESOLUCIÓN: R/02442/2015 En el procedimiento sancionador PS/00283/2015, instruido por la Agencia Española de Protección de Datos a la entidad CORDINADORA FINANCIERA E HIPOTECARIA SLU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10 de octubre de 2014 tiene entrada en esta Agencia una denuncia de A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente 1. Al visitar la página www.infomorosos.com no encuentra información sobre el uso de 2. Fueran la aceptación de sus condiciones de uso a la hora de usar el servicio indicando “El usuario consiente expresamente la remisión de información comercial sobre productos y servicios por cualquier medio, incluidos los electrónicos”, sin una aceptación expresa por parte del usuario al envío de información comercial. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CORDINADORA FINANCIERA E HIPOTECARIA SLU, teniendo conocimiento de los siguientes extremos: 1. El 27 de noviembre de 2014 se realiza una prueba de acceso al sitio web www.infomorosos.com en el que se constata que en el pie de cada página y en los formularios de consulta y cancelación de datos figura un enlace 1 a la “Condiciones de servicio y política de privacidad”. En el formulario de consulta en los que se recaban datos, las “Condiciones de servicio y política de privacidad” deben de ser aceptadas marcando una casilla de verificación. No se observa en la página principal ninguna información sobre el uso de dispositivos de almacenamiento y recuperación de datos, en adelante DARD, ni tampoco ningún enlace que incluya en su descripción la palabra cookie u otra denominación equivalente. 2. En la página de “Condiciones de servicio y política de privacidad” se incluye el siguiente párrafo informativo: “El sitio www.infomorosos.com utiliza cookies, considerando tales los ficheros físicos de información alojados en el propio terminal del usuario. Las cookies sirven para facilitar la navegación del usuario por el portal y mostrar anuncios personalizados a través de la función de Remarketing de Google Adwords. De todas formas, el usuario tiene la posibilidad de configurar el navegador de tal modo que impida la instalación de estos archivos. Puede encontrar información de cómo inhabilitar las 1 https://www.infomorosos.com/component/content/article/29-contactar/62-lopd.html C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 encontrar información sobre como inhabilitar las cookies de DoubleClick desde la página de inhabilitación de DoubleClick.” Los textos subrayados, tal y como aparecen en la página, son enlaces que llevan a la página de “Configuración de anuncios”2 de Google y a la política de privacidad de Google3. La página, tras identificar a CORDINADORA FINANCIERA E HIPOTECARIA SLU como responsable del fichero en el que se incluirán los datos recabados en el sitio web, informa de que las finalidades del fichero son:

  1. a)Realizar el mantenimiento y gestión de la relación con el Usuario
  2. b)Labores de información y prestación de los servicios solicitados
  3. c)Adecuación de los servicios a sus preferencias y necesidades
  4. d)Realizar acciones comerciales encaminadas a ofrecerle productos, servicios o ofertas especiales. 3. Durante las pruebas de acceso realizadas el 27 de noviembre de 2014 se utilizaron dos navegadores, Mozilla Firefox y Google Chrome. A continuación se muestran los DARD descargados. Dominio Nombre Primera – Tercera parte Caducidad infomorosos.com _ga Tercera infomorosos.com _gat Tercera Persistente Persistente infomorosos.com 8af92e4b3a9676810f0b7d41… Primera Sesión google.com NID Tercera Persistente doubleclick.net test_cookie Tercera Persistente doubleclick.net id Tercera Persistente www.dw-formmailer.de COUNTRY Tercera Persistente Tercera Sesión www.facebook.com Los DARD del dominio doubleclick.net no fueron descargados durante las pruebas realizadas con el navegador Google Chrome, pero sí con el navegador Mozilla Por el contrario el DARD de tipo “Almacenamiento local” asociado al dominio www.facebook.com, únicamente fue descargado en el navegador Chrome. 4. En cuanto a las finalidades de los DARD descargadas: 4.1. Los DARD denominados _ga y _gat son dos de los utilizados por el servicio de analítica web Google Analytics, prestado por Google Inc. el servicio realiza un seguimiento del comportamiento del visitante para después proporcionar información de carácter estadístico al responsable del sitio web. 4.2. El DARD denominado “*********”, por su nombre, contenido y caducidad, tiene 2 https://www.google.com/settings/ads? hl=es&sig=ACi0TChoO2BjtbGiLbxHlqsbmJcRYBCgWrK1zWwW6e9zyA8GOXt6oMv4l5t7S3Ye 6_E_oIvIcIaaCX9IgcXuU4ZYvnQ5C7cZmg 3 www.google.es/policies/technologies/ads C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 como finalidad la gestión de la sesión de usuario. 4.3. Google proporciona en su página web4 información sobre algunas de las encuentran las cookies denominadas NID y PREF. La página informa de que “Google utiliza cookies, como la cookie PREF, para poder personalizar los anuncios que se muestran en los servicios de Google como, por ejemplo, la Búsqueda de Google, especialmente cuando no has iniciado sesión en una cuenta de Google. También utilizamos cookies para anuncios que mostramos fuera de Google. Nuestra principal cookie publicitaria se denomina "id" y se almacena en navegadores en el dominio doubleclick.net. También utilizamos otras cookies denominadas "_drt_", "FLC", "NID" y "exchange_uid".” 4.4. El dominio doubleclik.net es uno de los utilizados por Google Inc para prestar sus servicios de publicidad. La información publicada5 por el responsable del dominio y del servicio ofrece información respecto de los DARD que utiliza bajo un epígrafe titulado “¿Cómo usa Doubleclick las cookies?” que proporciona la siguiente información: “DoubleClick usa cookies para mejorar la publicidad. Suelen utilizarse para orientar la publicidad según el contenido que es relevante para un usuario, mejorar los informes de rendimiento de la campaña y evitar mostrar anuncios que el usuario ya haya visto. El ID de cada cookie de DoubleClick es esencial para estas aplicaciones. Por ejemplo, DoubleClick usa el ID de cookie para llevar un registro de los anuncios que se muestran en cada navegador. A la hora de publicar un anuncio en un navegador, DoubleClick puede usar el ID de cookie de dicho navegador para comprobar los anuncios de DoubleClick que ya se han publicado en él. Así es como DoubleClick evita publicar anuncios que el usuario ya ha visto. De la misma forma, los ID de cookie permiten que DoubleClick registre las conversiones relacionadas con las solicitudes de anuncios, como, por ejemplo, cuando un usuario ve un anuncio de DoubleClick y, posteriormente, usa el mismo navegador para visitar el sitio web del anunciante y realizar una compra. Las cookies de DoubleClick no contienen información de identificación personal. En ocasiones, la cookie contiene un identificador adicional que se parece al ID de cookie. Este identificador se emplea para identificar una campaña publicitaria a la que un usuario se ha expuesto anteriormente; pero DoubleClick no guarda información de identificación personal en la cookie.” Durante la tramitación del procedimiento PS/00320/2013 Google alegó que la de publicidad, sino de comprobación de la configuración del navegador del usuario para verificar si permite, o no, la instalación de cookies. 4.5. El DARD denominado COUNTRY, está asociado al dominio www.dwformmailer.de contiene, además de un código de país (en este caso “ES”), la dirección IP del visitante. Al acceder a la página web www.dw-formmailer.de se constata que ésta se dedica a una herramienta con la que elaborar formularios que poder utilizar en 4 http://www.google.com/intl/es_es/policies/technologies/types 5 https://support.google.com/adsense/answer/2839090?hl=es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 sitios web. La herramienta dispone de una versión gratuita de y de otra de pago. Según se indica en su página de política de privacidad6 (que únicamente se encuentra disponible en lengua alemana e inglesa) la versión gratuita de la herramienta utiliza DARD publicitarios de tercera parte. TERCERO: Con fecha 22 de mayo de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CORDINADORA FINANCIERA E HIPOTECARIA SLU, con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 22.2, de la LSSI, tipificada como leve en el artículo 38.4
  5. g)de la citada Ley. CUARTO: La notificación del citado Acuerdo de Iniciación, en la dirección que COORDINADORA FINANCIERA E HIPOTECARIA SLU designo como domicilio a efectos de notificaciones en el Apartado de Correos **** de Bilbao, teniendo entrada en fecha de 26/08/2015 un escrito del Director de la Sucursal de Correos y Telégrafos n 5 de Bilbao en el que certifica que la notificación relativa al Acuerdo de Inicio tuvo entrada en la sucursal en fecha de 28/05/2015 y fue devuelta por no reclamarla los destinatarios en fecha de 28/06/2015. En fecha de 19/08/2015 la notificación el Acuerdo de Inicio se publicó en el B.O.E núm. 198 QUINTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas por parte de COORDINADORA FINANCIERA E HIPOTECARIA SLU, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. FUNDAMENTOS DE DERECHO I La competencia para sancionar la comisión de la infracción tipificada en el artículo 38.4
  6. g)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se 6 www.dw-formmailer.de/index.php?action=datenschutz “We use third-party advertising companies to serve ads when you use our free web services. By using a so-called DART address or telephone number) about your visits to this and other websites in order to provide advertisements about goods and services can be switched that interest you. If you would like more information about this practice or want to know your choices about having this information can not be used by these companies, click here. http://www.google.de/privacy_ads.html” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • • • • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2001 ( RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III Dispone el artículo 59.5 de la Ley 30/1992, de 26 de noviembre en cuanto a la práctica de las notificaciones: “ Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien, intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de anuncios en el tablón de edictos del Ayuntamiento en su último domicilio, en el Boletín Oficial del Estado, de la Comunidad Autónoma o de la Provincia, según cual sea la Administración de la que se proceda el acto a notificar, y el ámbito territorial del órgano que lo dictó.” En el presente caso se han observado las prescripciones legales, tal como se ha señalado en el Antecedente Cuarto de la presente Resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 IV En el presente caso se imputa la comisión de una infracción leve tipificada en el art. 38.4
  7. g)consistente en (…)El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave(…) Por su parte, en a la prescripción de las infracciones, el artículo 45 de la LSSI dispone que: las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses; las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. En cuanto al cómputo del plazo de las infracciones, la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común dispone en su artículo 132.2 que: El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable. En el presente caso teniendo en cuenta que las comprobaciones en las que se acredita la falta de información respecto de la instalación de dispositivos de almacenamiento y comunicación de datos en los terminales de los usuarios que accedían a la página web www.infomorsos.com se realizó en el marco de las Actuaciones Previas de Inspección E/06627/2014 en fecha de 27/11/2014, ésta ha de ser la fecha que determine la comisión de la infracción y por tanto la que inicie el computo del plazo prescripción de la citada infracción que concluirá, de acuerdo con el art. 45 LSSI, pasados los seis meses, esto es, en fecha de 27/05/2015 (dies ad quem) Teniendo en cuenta la comunicación del Director de la Sucursal de Correos y Telégrafos n 5 de Bilbao, en la que certifica que la notificación relativa al Acuerdo de Inicio del procedimiento de referencia, tuvo entrada en la sucursal en fecha de 28/05/2015, ha de considerarse prescrita la infracción pues a fecha del dies ad quem (27/05/2015) no existe en el expediente circunstancia alguna, que interrumpa la prescripción, procediendo al archivo de las actuaciones. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad CORDINADORA FINANCIERA E HIPOTECARIA SLU, por la prescripción de la infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
  8. g)de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a CORDINADORA FINANCIERA E HIPOTECARIA SLU, y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.