PS-00306-2020

1/5  Procedimiento Nº: PS/00306/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00306/2020, instruido por la Agencia Española de Protección de Datos ante D. A.A.A., con NIF: ***NIF.1 , titular de la página web, www.torosdelidia.es , (en adelante, “la persona reclamada”), en virtud de denuncia presentada por D. B.B.B., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 13/11/19, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “En la web www.torosdelidia.es, no se tiene publicado aviso legal, contraviniendo con ello lo estipulado en la LSSI. Igualmente, la referida web carece de política de privacidad y política de cookies”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 08/07/20 se dirige requerimiento informativo a la ENTIDAD PÚBLICA EMPRESARIAL RED.ES y al GRUPO LOADING SYSTEMS S.L. para que, facilitase a esta Agencia los datos de identificación del titular del dominio www.torosdelidia.es, contestado ambas entidades que la titularidad de dicho dominio pertenece a la persona reclamada. TERCERO: Con fecha 20/09/20, por parte de esta Agencia, se consulta la página web denunciada, comprobándose los siguientes aspectos sobre la política de privacidad y la política de cookies implantada en dicha página: A).- Respecto de la Política de Privacidad: Se ha comprobado que, en la página web www.torosdelidia.es, en la pestaña de <<crear una cuenta>>, situada en la parte superior de la página, se recogen datos personales de los inscriptores, como el nombre y el correo electrónico, así como en la opción de subscribirse a las Newsletter, donde se debe introducir el correo electrónico. NO existe ningún enlace que redirija a la “política de privacidad”. Solo existe, en la pestaña de <<contacto>> la siguiente información: Email: info@torosdelidia.es B).- Respecto de la Política de Cookies: b.1.- Al acceder a la página principal de la web, www.torosdelidia.es , (primera capa), se comprueba que, sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizan, entre otras, las siguientes cookies persistentes: _ga, con caducidad el 8 de julio de 2022 y con finalidad de rendimiento según https://cookiepedia.co.uk. Según https://cookiepedia.co.uk, asociada a Google Analytics. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 _gid, con caducidad el 9 de julio de 2020 y con finalidad de rendimiento según https://cookiepedia.co.uk. Según https://cookiepedia.co.uk, asociada a Google Analytics. b.2.- NO existe en esta página inicial ningún banner o información sobre la utilización de cookies por parte de la página web. b.3.- NO existe en esta página inicial, ningún enlace que redirija a la “política de privacidad”. CUARTO: A la vista de los hechos denunciados de las comprobaciones realizadas por esta Agencia, la Directora de la Agencia Española de Protección de Datos, con fecha 07/10/20, acordó iniciar procedimiento sancionador a la a la persona reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 22.2 de la LSSI, respecto a la política de cookies de su página web y 13 del RGPD, respecto de la inexistencia de política de privacidad en su página web, comprobando que existe un tratamiento de los datos personales de los usuarios. QUINTO: Notificada la incoación del expediente, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro del periodo concedido para ello. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- Respecto de la Política de Privacidad, se ha comprobado que, en la página web, se recogen datos personales, pero no existe ningún enlace que redirija a la “política de privacidad”. Solo existe, en la pestaña de <<contacto>> la siguiente información: Email: info@torosdelidia.es 2.- Respecto de la Política de Cookies, se ha comprobado que, al acceder a la página principal de la web, (primera capa) y sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizan no necesarias como “_ga” y “_gid”. No existe en esta página inicial ningún banner sobre la utilización de cookies y tampoco existe ningún enlace que redirija a la “política de privacidad”. FUNDAMENTOS DE DERECHO I Competencia: Sobre la Política de Privacidad: En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. Sobre la Política de Cookies: De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II Sobre la política de privacidad, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD. Por su parte, el artículo 72.1.
13. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
14. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
15. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
16. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”, por lo que, la sanción que corresponde sería de “apercibimiento”, III En relación a la “Política de Cookies”, de la página web reclamada, los hechos expuestos suponen, por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios, y al considerar que el responsable de la página web es una persona física, se estima adecuado imponer una sanción de “apercibimiento”, por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a D. A.A.A., con NIF: ***NIF.1 , titular de la página web, www.torosdelidia.es , por infracción de los artículos 13 del RGPD y 22.2 de la LSSI. REQUERIR: a D. A.A.A., para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas necesarias para: - Adecuar la política de privacidad de la página web de su titularidad a lo estipulado en el artículo 13 del RGPD. - Adecuar la política de cookies de la página web de su titularidad a lo estipulado en el artículo 22.2 de la LSSI. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es