PS-00308-2023 | Europaius

1/44  Expediente N.º: EXP202207932 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de julio de 2022, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a RAMONA FILMS, S.L. con NIF B87763405 (en adelante, RAMONA) en relación con los siguientes hechos: En expediente E/02426/2021 y con fecha 11/03/2021, la directora de la Agencia Española de Protección de Datos instó a la Inspección de Datos el inicio de oficio de actuaciones previas de investigación en relación con RAMONA FILMS, S.L., como responsable del sitio web ***URL.1, para analizar el cumplimiento de la normativa de protección de datos en relación con los menores de catorce años, considerando la sensibilidad de los datos personales relativos a la navegación que se podrían tratar en estos sitios para el perfilado de los usuarios, relativos a la vida y orientación sexuales. Con fechas 13/03/21 y 28/05/21, por parte de esta Agencia, en relación con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se envió a la entidad RAMONA FILMS, SL, sendos escritos solicitando información sobre los siguientes aspectos: la gestión de los riesgos asociado a las actividades de tratamiento en que se pudiera producir un acceso ilegítimo de un menor a los contenidos que ofrecen; la evaluación de impacto relativa a la protección de datos respecto del análisis de riesgos; medidas técnicas y organizativas implantadas en su entidad que suponga limitación de acceso de menores de edad a los contenidos ofrecidos; limitaciones para que los menores accedan a dichos contenidos; Política de privacidad y ubicación pública de la misma; medidas técnicas y organizativas a tomar en su entidad ante eventual comprobación de un acceso indebido de un menor a sus contenidos; medidas técnicas y organizativas que reflejen la protección de datos personales y los procesos de verificación y evaluación de la eficacia de las medidas y aclaración de si realizan perfilado de los datos personales de quienes acceden a sus contenidos La entidad investigada no atendió ninguno de los requerimientos de información cursados. Consecuencia de las actuaciones previas de investigación y de las conclusiones obtenidas en las mismas, se incoó el procedimiento sancionador PS/00483/2021 contra RAMONA FILMS, SL, por infracción de los artículos 13 del Reglamento General C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y al artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web. En marzo de 2022 se abre procedimiento sancionador PS/00098/2022 por no contestar a los requerimientos de información notificados en el marco del E/02426/2021. En contestación al plazo de alegaciones otorgado en este procedimiento sancionador la entidad procedió a la remisión de la información solicitada en los citados requerimientos, de fechas 13 de marzo de 21 y 28 de mayo de 2021. Realizada por área de Inspección de esta Agencia un análisis y valoración de dicha información con el fin de conocer si lo aportado resulta suficiente para determinar la necesidad de abrir una nueva investigación, o bien se necesita alguna aclaración adicional, se constata la existencia de contradicciones en las manifestaciones de la entidad investigada en relación con la ausencia de tratamiento de datos personales al encontrarse indicios de posible almacenamiento de los datos de los suscriptores en su base de datos para verificar, entre otras cosas, las credenciales de los usuarios que inician sesión. Asimismo, se constata la ausencia de controles adicionales para verificar la edad de los visitantes de la web, más allá de la simple activación por el usuario de un botón indicando que es mayor de edad en una ventana informativa para acceder libremente a la web. Finalmente, en cuanto al posible perfilado de categorías especiales de datos, pese a que la entidad afirma que no se lleva a cabo, existen diferentes cookies sobre las que no se aporta información, de manera que no se puede saber qué tipo de información obtienen por parte del usuario que navega su web. En relación con lo anterior, la necesidad de analizar las implicaciones en materia de protección de datos personales de la información obtenida requería la apertura de una investigación tendente al esclarecimiento de los hechos y su alcance. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 6 de septiembre de 2022 se requirió información a RAMONA sobre su organización y el portal web ***URL.1. El requerimiento de información, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de septiembre de 2022 como consta en el acuse de recibo que obra en el expediente. En fecha 22 de septiembre de 2022 se recibe escrito por parte de RAMONA FILMS SL solicitando ampliación de plazo para contestar al anterior requerimiento, ampliación que se concede. En el escrito de contestación a dicho requerimiento se recoge textualmente que: “La página web ***URL.1, en adelante “la web”, solicita al interesado la confirmación de que es mayor de 18 años. Para evitar el uso de cookies, se ha utilizado una propiedad de Javascript llamada sessionstorage. Dicha variable sólo guarda la información suministrada por el interesado durante la sesión de usuario no almacenando información alguna en el servidor en el que se aloja la web. Es por ello, que cada nueva conexión a ***URL.1 requiere que sea proporcionada dicha información nuevamente.”. Asimismo, afirman que debido a un error se estaban instalando determinadas cookies para las que no se ofrecía información, y que dicho error ha sido subsanado por los técnicos. Reconocen otro error existente en la web por el cual se estaban instalando cookies en el dispositivo del usuario pese a que este hubiese rechazado su instalación; ya que, los técnicos hicieron varias pruebas al inicio de poner en funcionamiento el panel de actualizaciones realizadas en la web para potenciar la experiencia de usuario, no se interpretaba correctamente el bloqueo de aquellas cookies no aceptadas por el usuario. Afirman que el código se ha corregido y se han realizado pruebas. En relación con las cookies que almacenan la localización del usuario, refieren que son dos las que cumplen este propósito: cookies-country (que almacena únicamente el país) y cookies-region (que almacena la región del usuario para poder ofrecerle webcams configuradas para dicha región); si bien, dicha localización no es precisa. En relación con el formulario de contacto existente en el portal web, afirman que los datos recogidos se guardan en una base de datos gestionada por RAMONA y alojada en el proveedor de hosting COMVIVE (***URL.2) situado en España, con la siguiente estructura de campos: name, city, state, country, phone, age, email, image_1, image_2, image_3. No obstante, el formulario únicamente solicita los campos nombre y email por lo que el resto de los campos no se obtienen del mismo Respecto a la solicitud de aclaración del motivo por el cual en el formulario de contacto (***URL.3) existía una casilla de aceptación (checkbox) junto a la cual aparecía el enlace “condiciones generales de contratación” que te llevaba a una segunda página que no ofrecía información sobre protección de datos, nos afirman que se trataba nuevamente de un error y que ya ha quedado subsanado. En relación a los datos recibidos por la plataforma de pago ***PLATAFORMA.1 cuando un cliente realiza una suscripción al servicio, afirman que la empresa CCBILL EU Ltd, con sede en Malta, proporciona a RAMONA el servicio de pagos en línea para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 suscriptores. Que cuando un cliente realiza una suscripción a través de esta empresa los datos que esta les facilita de vuelta son almacenados en la tabla de la base de datos con nombre transactions con la siguiente estructura de campos: offer_name, amount, currency, user_id, user_pwd, email, ip, card_holder (entre los que se encuentra el identificador del usuario, su email, la dirección IP y el titular de la tarjeta que se ha utilizado para la compra). Efectuada con éxito la transacción del pago, se actualizan también los campos update_at, paid_until, last_suscription, renewable, last_payment_method de la tabla users, tabla que también contiene los campos name, email y password. En cuanto a la aportación del contrato de encargado de tratamiento con CCBILL EU Ltd (empresa que habilita formulario para la suscripción a los servicios del portal putalocura.com) afirman que:    El contrato de servicios con la mercantil CCBILL EU Ltd data de 2004. La selección de este proveedor se hace tras comprobar que cumplen con la normativa vigente de protección de datos. Después de la entrada en vigor del RGPD, el responsable RAMONA envía a CCBILL el correspondiente contrato para su firma, pero que la propia empresa CCBILL les contestó remitiendo a RAMONA a la política de privacidad alegando la imposibilidad de gestionar dicho tipo de contratos por el elevado número de clientes que tiene. Que RAMONA analizó el riesgo de incumplimiento y consideró el mismo como bajo, por lo que decidió seguir trabajando con la mercantil CCBILL. Por último, se aporta la relación de dominios bajo la responsabilidad de RAMONA. En el marco de dichas actuaciones previas de investigación y dado que en la Política de Privacidad del domino web ***URL.4 aparece como responsable de tratamiento de los datos PROMOCIONESWEB 2016 (en adelante, PROMOCIONES), en fecha 07 de noviembre de 2.022 se realiza un requerimiento a esta. El requerimiento de información, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido ese mismo día tal y como consta en el acuse de recibo que obra en el expediente. En contestación a dicho requerimiento afirman que son responsables del tratamiento de los datos personales tratados por el portal web ***URL.4, aunque también se afirma que la titularidad de este dominio web pertenece a RAMONA FILMS SL. A dicho escrito de contestación adjuntan el Registro de Actividades de Tratamiento, así como un documento con título “Plantilla de Evaluación de Impacto relativa a la Protección de Datos” con el logotipo de la Autoridad Catalana de Protección de Datos (ADPCAT). TERCERO: En fecha 17 de febrero de 2023 se realiza nuevo requerimiento de información al responsable de tratamiento RAMONA con la finalidad de conocer el contrato de encargo de tratamiento con el proveedor de hosting donde se hospedan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 tanto la base de datos como el portal ***URL.1, así como los campos de la base de datos almacenados cuando un usuario realiza una suscripción a un servicio. Solicitada la ampliación del plazo concedido para atender a dicho requerimiento, se estima y con fecha 6 de marzo de 2023, se recibe respuesta al requerimiento de información en la que el responsable de tratamiento afirma que el portal web ***URL.1 comparte proveedor de hosting (Comvive Servidores S.L.) con los portales ***URL.5 y ***URL.6. Se adjunta el contrato de encargo con el proveedor de hosting Comvive Servidores S.L así como el Registro de Actividades de Tratamientos y afirman que este registro ha sido ligeramente modificado con respecto al aportado ante esta Agencia en escrito de 30 de marzo de 2022. CUARTO: Finalizadas las actuaciones de investigación se concluye: 1. Por afirmación del propio responsable actúa como Delegado de Protección de Datos de esta empresa D. A.A.A.(***EMAIL.1). No consta este DPD en los sistemas de esta Agencia. 2. El responsable RAMONA FILMS S.L acredita la existencia de contrato de encargo de tratamiento con el proveedor de hosting COMVIVE SERVIDORES SL, del análisis de este contrato se concluye: a. En relación con las partes que suscriben el contrato se especifica: “De una parte, Daniel Salamanca Domingue , con DNI 28495399D , como representante legal de la empresa Comvive Servidores S.L. , con CIF B91315804 y con domicilio en C/ ***DIRECCIÓN.1, de ahora en adelante ENCARGADO DEL TRATAMIENTO, y de otra, A.A.A., con DNI ***NIF.1, como Delegado de protección de datos de la empresa RAMONA FILMS S.L.U, con CIF B87763405 y con domicilio en ***DIRECCIÓN.2, de ahora en adelante RESPONSABLE DEL TRATAMIENTO”. b. La fecha de firma es 21 de febrero de 2023. c. En el contenido del contrato no se concreta en qué consiste el tratamiento, apareciendo un apartado con un listado de posibles operaciones de tratamiento junto a una casilla para marcar las que correspondan en el contrato, no obstante, todas se han dejado sin marcar. d. No se especifican los tipos de datos afectados por el contrato ni las categorías de interesados. e. En relación con la duración del contrato se especifica “el presente acuerdo tiene una duración indeterminada. Se dará por finalizado a la clausura del contrato por la razón que fuere…”. 3. Sobre el portal web ***URL.1 del que es responsable de tratamiento: a. El mecanismo utilizado para declarar la edad del usuario que accede es una ventana emergente que se muestra al acceder a la página con un botón y el texto “Soy mayor de 18 años – entrar en putalocura.com”, al pulsarse el botón por parte del usuario se guarda esta acción en una variable javascript denominada sessionstorage que no sale del dispositivo del usuario y que permanece en este mientras no se cierre la pestaña del navegador que se está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 utilizando, el responsable de tratamiento afirma textualmente lo siguiente: “Dicha variable sólo guarda la información suministrada por el interesado durante la sesión de usuario no almacenando información alguna en el servidor en el que se aloja la web. Es por ello, que cada nueva conexión a ***URL.1 requiere que sea proporcionada dicha información nuevamente”. b. Se detecta forma de eludir este mecanismo de declaración de edad que permite acceder a los contenidos del portal sin declararse la mayoría de edad del usuario, para ello se tiene que pulsar en el enlace de la ventana informativa de cookies que aparece en el primer acceso “Puede obtener más información AQUÍ”, y que te lleva a una nueva página donde se visualiza el contenido de la política de cookies, posteriormente se debe hacer una reducción de zoom del navegador para visualizar la página con un valor de zoom inferior al 100%, esto te permite visualizar todos los menús de la parte superior del portal web y acceder a las múltiples secciones de la web sin haber declarado la mayoría de edad. c. Al introducir en navegador web la URL directa de alguna de las categorías internas que utiliza el portal web para clasificar los contenidos pornográficos (por ejemplo ***URL.7, ***URL.8 o cualquier otra categoría), no se muestra el mecanismo para obtener la declaración de edad del usuario, permitiéndose el acceso libre a los contenidos pornográficos. d. El responsable de tratamiento RAMONA FILMS SL afirma y reconoce que, a fecha de recibir nuestro requerimiento de información (16 de septiembre de 2022), se estaban instalando cookies para las que no se ofrecía información alguna al usuario. También afirma que se estaban instalando cookies pese a que el usuario confirmara que no deseaba instalarlas, haciendo para ello uso del panel de configuración de cookies que tiene habilitado el portal. Afirman que lo anterior estaba ocurriendo debido a un error técnico y que se ha corregido de forma inmediata, llevando a cabo las pruebas pertinentes. Por el presente inspector se comprueba que lo anterior ya ha sido corregido. e. Ha quedado constatado que se utilizan dos cookies para obtener la localización del usuario, estas almacenan información del país y la región (por ejemplo, España/Madrid) de procedencia no obteniéndose una localización precisa del usuario. Según la política de cookies el propósito de estas cookies de localización aproximada es poder ofrecer al usuario webcams según su región. No se utilizan cookies para obtener la dirección IP del usuario, no obstante, este dato sí se trata y almacena para todos aquellos usuarios que cumplimentan el formulario de suscripción a los servicios del portal. f. Ha quedado constatado que RAMONA FILMS SL trata los siguientes datos personales del usuario que accede a los servicios ofrecidos por el portal: nombre y apellidos, email, usuario y contraseña encriptada, dirección IP (la obtienen de los suscriptores que cumplimentan formulario de pago para suscripción a los servicios), titular de la tarjeta utilizada para el pago, código postal, país. Los datos son almacenados por el responsable de tratamiento RAMONA FILMS SL en una base de datos facilitada por el proveedor de hosting COMVIVE SERVIDORES SL. Este proveedor de hosting almacena los datos en España. g. Ha quedado constatado la existencia de un formulario de contacto en el portal b que solicita los datos personales nombre y email del usuario sin recabar el consentimiento informado, tras nuestro primer requerimiento de información el responsable afirma que se trata de un error y que ha sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 subsanado habilitando una casilla de aceptación (checkbox) que el usuario debe aceptar, con un enlace a la política de privacidad donde se informa de la finalidad de tratamiento y sobre los derechos de protección de datos. h. Ha quedado constatado que RAMONA FILMS SL utiliza a la empresa CCBILL EU Ltd, con sede en Malta, para gestionar las suscripciones de los usuarios y actuar como pasarela de los pagos a los servicios de visualización de contenidos, también ha quedado constatado que no existe contrato de encargo de tratamiento con este tercero. Por parte de RAMONA FILMS SL se afirma que tras la entrada en vigor del RGPD contactaron con esta empresa para intentar firmar un contrato de encargo de tratamiento, y que esta empresa les contestó remitiéndoles a la política de privacidad y afirmando que no podían firmar este tipo de contratos, afirman que RAMONA analizó el riesgo de incumplimiento y lo consideró bajo por lo que decidió seguir trabajando con este proveedor. i. Tras acceder a la web y aceptar la declaración de edad se tiene acceso a contenidos pornográficos sin necesidad de suscribirse al servicio. 4. Sobre el portal web ***URL.2 del que es responsable de tratamiento: Ha quedado constatado que utiliza una ventana emergente como mecanismo para obtener la declaración de mayoría de edad del usuario, esta ventana contiene una casilla de aceptación (checkbox) que da la opción de “recordar la decisión” en el dispositivo del usuario. Utiliza la cookie “age_gate” para almacenar la declaración del usuario, una cookie de “sesión” que permanece en el dispositivo del usuario hasta que este cierra el navegador, no obstante, cuando el usuario activa la opción “recordar decisión” esta cookie pasa a tener una duración de almacenamiento de 365 días, permaneciendo durante todo este tiempo en el dispositivo del usuario incluso cuando se cierra el navegador. 5. Sobre el portal web ***URL.3 del que es responsable de tratamiento: a. Ha quedado constatado que se utiliza una ventana emergente con un texto informativo que contiene la frase en inglés “By using the site, you acknowledge you are at least 18 years old”, y los botones “Continuar” y “Salir” a través de los cuales el usuario declara ser mayor de edad. Se utiliza la cookie “kt_agecheck” para almacenar la declaración del usuario, esta cookie siempre tiene una duración de 365 días por lo que permanece almacenada en el dispositivo del usuario durante todo este tiempo independientemente de que se cierre el navegador (salvo que sean borradas de forma expresa por el usuario haciendo uso de las opciones que ofrece el navegador). b. Al acceder al portal se muestra ventana emergente para gestionar la instalación de cookies por parte del usuario, mostrando tres categorías distintas: cookies técnicas (se instalan siempre), cookies analíticas (se instalan a petición del usuario) y cookies de publicidad (se instalan a petición del usuario). No obstante, entre las cookies que siempre se instalan existe la accediendo al portal. c. Existe un formulario de contacto para aquellas personas que deseen trabajar como actores porno en las producciones gay del portal, este formulario obliga a aceptar la política de privacidad, activando casilla de aceptación (checkbox) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 donde se indica que la base legítima para el tratamiento de los datos recabados es el propio consentimiento del usuario, no obstante, entre la información recabada hay datos que revelan la orientación sexual del usuario, en concreto se pide textualmente los siguientes datos: nombre, edad, email, teléfono, ciudad, país, rol gay (activo/pasivo/versátil), tamaño del pene, fotografías. d. Tras acceder a la web y aceptar la declaración de edad se tiene acceso a contenidos pornográficos sin necesidad de suscribirse al servicio. 6. Sobre el portal web ***URL.4 del que es responsable de tratamiento: a. No contiene material pornográfico y su propósito es la venta de libros y comics. b. Existe formulario que permite al usuario crear una cuenta en el portal y que obtiene datos personales (nombre, apellidos, email y contraseña) sin recabar el consentimiento informado del usuario. c. Al tramitar la compra de cualquier artículo te muestra un enlace con la política de privacidad que no está adaptada a la nueva normativa y hace referencia a la Ley 15/1999. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la sociedad limitada RAMONA FILMS SL posee un capital social de 4600 euros y volumen de ventas de 441078 euros, su actividad pertenece al área de “producciones cinematográficas y de video”, el último ejercicio presentado data de 2020. SEXTO: Con fecha 11 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada: - Por la supuesta infracción del artículo 6.1.

a)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 50.000,00 euros. - Por la supuesta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.000,00 euros. - Por la supuesta infracción del artículo 28.3 del RGPD, tipificada en el artículo 83.4 de dicha norma, al no ajustarse al contenido mínimo exigido el contrato de encargado de tratamiento suscrito con el proveedor de hosting COMVIVE SERVIDORES SL., multa administrativa de cuantía 40.000,00 euros. - Por la supuesta infracción del artículo 28.3 del RGPD, tipificada en el artículo 83.4 de dicha norma, al no existir contrato de encargado de tratamiento con CCBILL EU Ltd., multa administrativa de cuantía 50.000,00 euros. - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 60.000,00 euros. - Por la supuesta infracción del artículo 37 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 10.000,00 euros. - Por la supuesta infracción del artículo 38.6 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 15.000,00 euros. - Por la supuesta infracción del artículo 22.2 de la LSSI, tipificada en el artículo 38.4.
g)de dicha norma, multa administrativa de cuantía 15.000,00 euros. Asimismo, de confirmarse las infracciones, entre otras, procedería imponer la medida correctiva descrita en el artículo 58.2.
d)del RGPD y ordenar a RAMONA que, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 plazo de un mes, establezca las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales, impidiendo que se produzcan situaciones similares en el futuro. SÉPTIMO: Con fecha 12 de julio de 2023 se solicitó ampliación del plazo legalmente previsto para formular alegaciones al acuerdo de inicio notificado, ampliación que fue concedida el 17 de julio de ese mismo año. OCTAVO: En fecha 2 de agosto de 2023 se recibe en la Agencia Española de Protección de Datos escrito por la parte reclamada en el que acepta la sanción impuesta, y; por lo tanto, se abstienen de realizar alegaciones, solicitando el fraccionamiento del pago de la sanción. La parte reclamada en dicho escrito deja constancia de que estaban inmersos en la realización de los cambios solicitados, pero que, para la efectiva realización de todos ellos, más teniendo en cuenta las fechas en las que estábamos, precisarían de unas semanas adicionales. Concretamente, las dificultades encontradas en la integración de las soluciones desarrolladas por terceros para la verificación de edad estimaban que requerirían de 8 a 10 semanas. NOVENO: Con fecha 10 de agosto de 2023 esta Agencia recordó “… a la parte reclamada que en esta fase del procedimiento sancionador la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas no contempla la posibilidad de fraccionar el pago de las sanciones pecuniarias. En consecuencia y dada la aceptación de la sanción impuesta, para que las dos reducciones pudieran ser aplicadas y se dé por terminado el procedimiento sancionador, la parte reclamada debería ingresar en un pago único la cantidad de 145.200,00 euros € (ciento cuarenta y cinco mil doscientos euros) …”. DÉCIMO: Notificada la contestación a la solicitud del fraccionamiento del pago de la sanción el mismo 10 de agosto, y habiendo concedido el plazo de 10 días para formular alegaciones o proceder al ingreso del pago único correspondiente, se solicitó, con fecha 23 de agosto de 2023, ampliación de dicho plazo. La ampliación del plazo concedido para formular alegaciones fue concedida y notificada el 30 de agosto de 2023. UNDÉCIMO: En fecha 16 de octubre de 2023 se notificó a RAMONA FILMS S.L escrito solicitando ACLARACIÓN y MANIFESTACIÓN EXPRESA, en el plazo de 10 días, contados desde el día siguiente a la notificación de la presente comunicación, sobre si desiste o renuncia a toda acción o recurso en vía administrativa contra la sanción impuesta, a los efectos de aplicar la reducción del 20% del artículo 85 de la citada Ley. Con la observancia de que transcurrido dicho plazo sin que RAMONA FILMS, S.L. presente manifestación alguna, se continuaría con el procedimiento, sin derecho a la aplicación de la citada reducción, al no haber cumplido los requisitos legalmente establecidos para obtener el derecho a la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 DUODÉCIMO: Notificada en fecha 6 de octubre de 2023 dicha solicitud de aclaración conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), con fecha 29 de octubre de 2023 se recibe en la Agencia Española de Protección de Datos escrito de contestación en el que se RENUNCIA EXPRESAMENTE a toda acción o recurso en vía administrativa contra la sanción impuesta, solicitando la aplicación de la reducción del 20% sobre la sanción. HECHOS PROBADOS PRIMERO: Ha quedado constatado en el expediente que RAMONA es responsable de tratamiento en los siguientes portales web: - ***URL.1 - ***URL.2 - ***URL.3 - ***URL.4 SEGUNDO: Ha quedado acreditado que RAMONA trata los siguientes datos personales del usuario que accede a los servicios ofrecidos por el portal: nombre y apellidos, email, usuario y contraseña encriptada, dirección IP, titular de la tarjeta utilizada para el pago, código postal, país, orientación sexual. TERCERO: Consta acreditado en el expediente que en el portal web ***URL.1 el mecanismo utilizado para declarar la edad del usuario que accede es una ventana emergente que se muestra al acceder a la página con un botón y el texto “Soy mayor de 18 años – entrar en putalocura.com”, al pulsarse el botón por parte del usuario se guarda esta acción en una variable javascript denominada sessionstorage que no sale del dispositivo del usuario y que permanece en este mientras no se cierre la pestaña del navegador que se está utilizando. También ha quedado acreditado que en dicho portal web existe forma de eludir el mecanismo de declaración de edad, permitiendo acceder a contenidos del portal sin declarar la mayoría de edad del usuario, para ello se tiene que pulsar en el enlace de la ventana informativa de cookies que aparece en el primer acceso “Puede obtener más información AQUÍ”, y que te lleva a una nueva página donde se visualiza el contenido de la política de cookies, posteriormente se debe hacer una reducción de zoom del navegador para visualizar la página con un valor de zoom inferior al 100%, esto te permite visualizar todos los menús de la parte superior del portal web y acceder a las múltiples secciones de la web sin haber declarado la mayoría de edad. Consta en el expediente que, tras acceder a la web y aceptar la declaración de edad se tiene acceso a contenidos pornográficos sin necesidad de suscribirse al servicio. CUARTO: Ha quedado acreditado que el portal web ***URL.1 del que es responsable de tratamiento RAMONA se utilizan dos cookies para obtener la localización del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 usuario, estas almacenan información del país y la región (por ejemplo, España/Madrid) de procedencia no obteniéndose una localización precisa del usuario. QUINTO: Consta acreditado en el expediente que portal web ***URL.2 existe un formulario de contacto para aquellas personas que deseen trabajar como actores porno en las producciones gay del portal, este formulario obliga a aceptar la política de privacidad, activando casilla de aceptación (checkbox) donde se indica que la base legítima para el tratamiento de los datos recabados es el propio consentimiento del usuario. No consta, la revocación del consentimiento en la política de privacidad de dicho portal web. SEXTO: Consta en el expediente que al acceder al portal web ***URL.2 se muestra ventana emergente para gestionar la instalación de cookies por parte del usuario, mostrando tres categorías distintas: cookies técnicas (se instalan siempre), cookies analíticas (se instalan a petición del usuario) y cookies de publicidad (se instalan a petición del usuario). No obstante, entre las cookies que siempre se instalan existe la accediendo al portal. SÉPTIMO: No consta la designación de un Delegado de Protección de Datos en los sistemas de esta Agencia Española de Protección de Datos. OCTAVO: El responsable RAMONA FILMS S.L acredita en el expediente la existencia de contrato de encargo de tratamiento con el proveedor de hosting COMVIVE SERVIDORES SL. En dicho contrato se especifica: “De una parte, , B.B.B. con DNI ***NIF.2 , como representante legal de la empresa Comvive Servidores S.L. , con CIF B91315804 y con domicilio en C/ ***DIRECCIÓN.2, de ahora en adelante ENCARGADO DEL TRATAMIENTO, y de otra, A.A.A., con DNI ***NIF.1, como Delegado de protección de datos de la empresa RAMONA FILMS S.L.U, con CIF B87763405 y con domicilio en ***DIRECCIÓN.1, de ahora en adelante RESPONSABLE DEL TRATAMIENTO”. La fecha de firma de dicho contrato es 21 de febrero de 2023. En el contenido del contrato no se concreta en qué consiste el tratamiento, apareciendo un apartado con un listado de posibles operaciones de tratamiento junto a una casilla para marcar las que correspondan en el contrato, no obstante, todas se han dejado sin marcar. No se especifican los tipos de datos afectados por el contrato ni las categorías de interesados. En relación con la duración del contrato se especifica “el presente acuerdo tiene una duración indeterminada. Se dará por finalizado a la clausura del contrato por la razón que fuere…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 NOVENO: No consta en el expediente el contrato de encargo de tratamiento con CCBILL EU Ltd (empresa que habilita formulario para la suscripción a los servicios del portal putalocura.com). DÉCIMO: Consta en el expediente que RAMONA acepta la sanción impuesta y renuncia a toda acción o recurso en vía administrativa contra la misma. FUNDAMENTOS DE DERECHO I Competencia - Sobre el RGPD: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD y, arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la Política de Cookies: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la Ley LSSI. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 sión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente supuesto, ha quedado constatado que RAMONA trata los siguientes datos personales del usuario que accede a los servicios ofrecidos por el portal: nombre y apellidos, email, usuario y contraseña encriptada, dirección IP, titular de la tarjeta utilizada para el pago, código postal, país, orientación sexual…entre otros. Los datos son almacenados por RAMONA en una base de datos facilitada por el proveedor de hosting COMVIVE SERVIDORES SL. Este proveedor de hosting almacena los datos en España. RAMONA es la responsable de los tratamientos de datos referidos, toda vez que conforme a la definición del artículo 4.7 del RGPD es el que determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su registro de actividades del tratamiento. III Obtención de datos personales y falta de consentimiento del usuario. El artículo 6 del RGPD, establece, sobre la licitud del tratamiento de datos personales obtenidos de los usuarios que, el tratamiento de éstos solo será lícito si se cumple al menos una de las condiciones indicadas en su apartado primero, entre las que se encuentra, en su apartado a): “que el interesado haya dado su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos (…)”. En cuanto al tratamiento de datos basado en el consentimiento del interesado, el artículo 7 del RGPD indica que, el responsable del tratamiento deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales. Si el consentimiento se otorgara en el contexto de una declaración escrita que refiera también a otros temas, se obliga a que la solicitud de consentimiento se distinga claramente de los demás asuntos y se presente de forma inteligible, de fácil acceso y utilizando un lenguaje claro y sencillo. Se exige, además, que se le proporcione información adicional al interesado, entre otros, cuáles serán las categorías de datos a tratar, las finalidades para las que se solicita el consentimiento y el derecho a retirar el consentimiento en cualquier momento. En cuanto al modo de obtener el consentimiento del interesado para el tratamiento en cuestión, el considerando 32 del RGPD dispone que éste, “debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen” y que “el silencio, las casillas ya marcadas o la inacción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 no deben constituir consentimiento”. Asimismo, se exige que el consentimiento se otorgue “para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos”. Por último, establece que, “si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta”. Por su parte, el artículo 12.1 del citado RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados al solicitarles el consentimiento, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. Los artículos 13 y 14 del RGPD detallan por su parte, la información que debe facilitarse al interesado cuando los datos son recogidos directamente de éste (art. 13), o a través de otros medios, (art. 14). En cualquier caso, la obligación de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el responsable del tratamiento:
a)Si los datos se obtienen directamente del interesado, debe ponerse a su disposición la información en el momento en que se soliciten los datos, previamente a la recogida o registro y
b)si no se obtienen del propio interesado, se le debe informar antes de un mes desde que se obtuvieron los datos personales, o antes o en la primera comunicación con el interesado, o antes de que los datos (en su caso) se hayan comunicado a otros destinatarios. En el caso que nos ocupa, cuando el tratamiento de los datos personales se realiza a través de un sitio web, la “Política de Privacidad” de la página es el documento, a través del cual, el titular de la web debe informar sus clientes y usuarios sobre la gestión que realizará de los datos personales que se recopilarán al navegar en el sitio. Por tanto, antes de que el usuario facilite sus datos personales y dé su consentimiento al tratamiento de estos, se le debe facilitar un acceso simple y directo a la “Política de Privacidad” de la web. Respecto a la forma de obtener el consentimiento del interesado, la solicitud debe ser realizada a través de un acto afirmativo claro y voluntario, facilitando una casilla en blanco, o un mecanismo similar, donde el usuario deba marcar o cliquear de forma explícita la aceptación de la “Política de Privacidad”, mediante fórmulas como: “He leído y acepto las condiciones de la política de privacidad” o equivalentes. En el presente caso, sobre el tratamiento de los datos personales realizado en las páginas webs, consta en el informe de actuaciones previas de investigación la siguiente anomalía:  “Portal web ***URL.1 del que es responsable de tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44  Ha quedado constatado la existencia de un formulario de contacto en el portal ***URL.1 que solicita los datos personales nombre y email del usuario sin recabar el consentimiento informado, tras nuestro primer requerimiento de información el responsable afirma que se trata de un error y que ha sido subsanado habilitando una casilla de aceptación (checkbox) que el usuario debe aceptar, con un enlace a la política de privacidad donde se informa de la finalidad de tratamiento y sobre los derechos de protección de datos” En consecuencia, el responsable del tratamiento pudo obtener datos personales de los usuarios sin haber obtenido previamente su consentimiento para el tratamiento de los mismos, mediante un acto afirmativo claro y voluntario; lo que, es constitutivo de una infracción al artículo 6.1 del RGPD antes citado. IV Tipificación de la infracción del artículo 6 del RGPD La citada infracción del artículo 6 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9 (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 V Sanción por la infracción del artículo 6 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: Como agravantes: -
b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…). -
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 -
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Tal y como consta en su página web “RAMONA FILMS, S.L. es una productora fundada en Madrid en 2019; si bien, lleva más de 20 años creando contenidos para internet. Sus vocaciones son el humor, la erótica, el documental, las series, los debates, la animación, el contenido personal”. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida, al vulnerar lo establecido en su artículo 6.1 del RGPD, permite fijar la sanción de CINCUENTA MIL EUROS (50.000€). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en CUARENTA MIL EUROS (40.000€). VI Artículo 13 del RGPD El artículo 13 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” establece que: 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; (…). La política de privacidad del portal web ***URL.2, según consta en diligencia de fecha 17 de febrero de 2023, tiene el siguiente contenido: (…). El artículo 13.2.
c)del RGPD señala, dentro de la información que deberá facilitarse cuando los datos personales se obtengan del interesado, que “cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a)” se deberá indicar “la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.”. En el presente caso, la política de privacidad indica que el tratamiento de datos está legitimado en el consentimiento del interesado; esto es, conforme a lo dispuesto en el ya citado artículo 6.1
a)del RGPD. Por otro lado, tal y como consta en el informe de actuaciones previas, existe un formulario de contacto para aquellas personas que deseen trabajar como actores porno en las producciones gay del portal, este formulario obliga a aceptar la política de privacidad, activando casilla de aceptación (checkbox) donde se indica que la base legítima para el tratamiento de los datos recabados es el propio consentimiento del usuario, no obstante, entre la información recabada hay datos que revelan la orientación sexual del usuario, en concreto se pide textualmente los siguientes datos: nombre, edad, email, teléfono, ciudad, país, rol gay (activo/pasivo/versátil), tamaño del pene, fotograC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 fías; esto es, en estos casos el tratamiento se basa en el artículo 9, apartado 2, letra
a)del RGPD. No obstante, en ningún momento, la revocación del consentimiento consta en la política de privacidad de dicho portal web, lo que constituye una infracción, imputable a RAMONA, por la infracción del artículo 13 del RGPD. VII Tipificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)”. VIII Sanción por la infracción del artículo 13 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: Como agravantes: -
b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…). -
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. -
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Tal y como consta en su página web “RAMONA FILMS, S.L. es una productora fundada en Madrid en 2019; si bien, lleva más de 20 años creando contenidos para internet. Sus vocaciones son el humor, la erótica, el documental, las series, los debates, la animación, el contenido personal”. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de 2.000 € (DOS MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en MIL SEISCIENTOS EUROS (1.600€). IX Artículo 28 del RGPD El artículo 28 “Encargado del tratamiento” establece que 1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
c)tomará todas las medidas necesarias de conformidad con el artículo 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44
d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. (…). En el expediente consta el contrato de encargo de tratamiento suscrito por “A.A.A., con DNI ***NIF.1, como Delegado de protección de datos de la empresa RAMONA FILMS S.L.U, con CIF B87763405 y con domicilio en ***DIRECCIÓN.2, de ahora en adelante RESPONSABLE DEL TRATAMIENTO” con el proveedor de hosting COMVIVE SERVIDORES SL. En el contenido de dicho contrato no se concreta en qué consiste el tratamiento, apareciendo un apartado con un listado de posibles operaciones de tratamiento junto a una casilla para marcar las que correspondan en el contrato, no obstante, todas se han dejado sin marcar. Tampoco se especifican los tipos de datos afectados por el contrato ni las categorías de interesados. Y sorprende, en cuanto a la duración del contrato, que se especifique que “el presente acuerdo tiene una duración indeterminada. Se dará por finalizado a la clausura del contrato por la razón que fuere…”. Es evidente que, dicho contrato, no cumple con las mínimas exigencias establecidas en la normativa vigente en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 Por otro lado, ha quedado constatado que RAMONA utiliza a la empresa CCBILL EU Ltd, con sede en Malta, para gestionar las suscripciones de los usuarios y actuar como pasarela de los pagos a los servicios de visualización de contenidos. No consta en el expediente el contrato de encargo de tratamiento con CCBILL EU Ltd. Según consta en el informe de actuaciones previas, se requirió por parte de este Organismo el contrato de encargado de tratamiento con CCBILL EU Ltd (empresa que habilita formulario para la suscripción a los servicios del portal putalocura.com); si bien, por parte de RAMONA se contestó al requerimiento en los siguientes términos: “a. El contrato de servicios con la mercantil CCBILL EU Ltd data de 2004. b. Seleccionaron a este proveedor tras comprobar que cumplen con la normativa vigente de protección de datos. c. Tras la entrada en vigor del RGPD, el responsable RAMONA envía a CCBILL el correspondiente contrato para su firma, pero que la propia empresa CCBILL les contestó remitiendo a RAMONA a la política de privacidad alegando la imposibilidad de gestionar dicho tipo de contratos por el elevado número de clientes que tiene.” RAMONA analizó el riesgo de incumplimiento ante la ausencia de contrato con la mercantil CCBILL EU Ltd y consideró el mismo como bajo, por lo que decidió seguir trabajando con la mercantil CCBILL, aun no existiendo el contrato de encargado que exige el RGPD. Se considera que los hechos conocidos son constitutivos de dos infracciones, imputables a RAMONA, por vulneración del artículo 28.3 del RGPD. X Tipificación de la infracción del artículo 28.3 del RGPD La citada infracción del artículo 28.3 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43 (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679. (…)”. XI Sanción por la infracción del artículo 28.3 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: Como agravantes: -
b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…).
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar las siguientes sanciones: a). - Por la infracción cometida por el contrato de encargado de tratamiento suscrito con el proveedor de hosting COMVIVE SERVIDORES SL., al no ajustarse al contenido mínimo exigido, una sanción inicial de 40.000€ (CUARENTA MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en TREINTA Y DOS MIL EUROS (32.000€). b). - Por la infracción cometida con CCBILL EU Ltd, al no existir contrato de encargado de tratamiento con el mismo, una sanción inicial de 50.000 € (CINCUENTA MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en CUARENTA MIL EUROS (40.000€). XII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a)la seudonimización y el cifrado de datos personales;
b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44
c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Cuando el servicio va dirigido de manera exclusiva a mayores de edad, cuando el responsable del tratamiento auto limite su tratamiento a mayores de edad, respecto de servicios que pueden comportar un riesgo para los menores, entonces, también sus esfuerzos, derivados de sus obligaciones, deben ir dirigidos a garantizar que sólo se traten datos de mayores de edad. El tratamiento de datos personales de un niño como persona vulnerable es un riesgo, resultando que en el caso de los niños los riesgos que afectarían a cualquier colectivo se amplifican por su situación de vulnerabilidad, por lo que los peligros per se son mayores que si afectan a un mayor de edad. Ello implica que, desde el enfoque de riesgos, pilar fundamental del RGPD, haya que habilitar las medidas técnicas y organizativas de seguridad apropiadas para evitar la materialización de riesgo muy alto causando una lesión en sus derechos y libertades. Este último es el supuesto en el que nos encontramos, en el que RAMONA FILMS, SL, pone de manifiesto el contenido de la web está dirigido exclusivamente a adultos y que es obligatorio ser mayor de edad. La entidad decide que las categorías de interesados se limitan a los mayores de edad, por lo que le corresponde implementar las medidas técnicas y organizativas de seguridad apropiadas para que el tratamiento se efectúe únicamente respecto de interesados mayores de edad. Ello conlleva que también implemente las medidas técnicas y organizativas apropiadas para que los datos de los menores de edad no sean tratados. En el informe de actuaciones previas de investigación se indica que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 “se constata la ausencia de controles adicionales para verificar la edad de los visitantes de la web, más allá de la simple activación por el usuario de un botón indicando que es mayor de edad en una ventana informativa para acceder libremente a la web”. Si observamos las limitaciones o cautelas previstas en la página web, estas son claramente insuficientes para limitar el acceso a los menores, tanto de forma directa a la página web (usuarios no registrados) como para registrarse en la página web (usuarios registrados). Si bien hay presentes mecanismos para “declarar” la edad, no existe ninguno para comprobarla ulteriormente, ni ninguno para verificarla ab initio, lo que sí constituiría una medida apropiada para evitar la materialización de los altos riesgos en los derechos y libertades de los menores que están presentes. Amén de que el tratamiento se ajuste a lo decidido por el responsable del tratamiento (obligatoriedad de ser mayor de edad) y únicamente se traten datos de las categorías de interesados “mayores de edad”. Además, en el presente caso ha quedado constatado que los sistemas o mecanismos de declaración de la edad de los usuarios que acceden a los portales web de los que era responsable del tratamiento de datos personales con facilidad se pueden eludir. Según consta en el informe de actuaciones previas de investigación: “ El mecanismo utilizado para declarar la edad del usuario que accede es una ventana emergente que se muestra al acceder a la página con un botón y el texto “Soy mayor de 18 años – entrar en putalocura.com”, al pulsarse el botón por parte del usuario se guarda esta acción en una variable javascript denominada sessionstorage que no sale del dispositivo del usuario y que permanece en este mientras no se cierre la pestaña del navegador que se está utilizando, el responsable de tratamiento afirma textualmente lo siguiente: “Dicha variable sólo guarda la información suministrada por el interesado durante la sesión de usuario no almacenando información alguna en el servidor en el que se aloja la web. Es por ello, que cada nueva conexión a ***URL.1 requiere que sea proporcionada dicha información nuevamente”…Se detecta forma de eludir este mecanismo de declaración de edad que permite acceder a los contenidos del portal sin declararse la mayoría de edad del usuario…”. “Ha quedado constatado que utiliza una ventana emergente como mecanismo para obtener la declaración de mayoría de edad del usuario, esta ventana contiene una casilla de aceptación (checkbox) que da la opción de “recordar la decisión” en el dispositivo del usuario…”. “Ha quedado constatado que se utiliza una ventana emergente con un texto informativo que contiene la frase en inglés “By using the site, you acknowledge you are at least 18 years old”, y los botones “Continuar” y “Salir” a través de los cuales el usuario declara ser mayor de edad...”. En consecuencia, los mecanismos establecidos por el responsable del tratamiento para declarar la edad no sólo son ineficaces porque no sirven para impedir que accedan menores de edad (verificar la edad), sino que además no funcionan al poder ser fácilmente eludidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 En conclusión, es evidente que RAMONA no disponía de las medidas de seguridad razonables en función de los posibles riesgos estimados, impedir el acceso a dichos portales web a los menores de edad, objetivo último del responsable del tratamiento toda vez que se habilita una casilla de declaración de edad. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a RAMONA, por vulneración del artículo 32 del RGPD. XIII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. XIV Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44 Como agravantes: -
b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…). -
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. -
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Tal y como consta en su página web “RAMONA FILMS, S.L. es una productora fundada en Madrid en 2019; si bien, lleva más de 20 años creando contenidos para internet. Sus vocaciones son el humor, la erótica, el documental, las series, los debates, la animación, el contenido personal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44 En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 60.000 € (SESENTA MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en CUARENTA Y OCHO MIL EUROS (48.000€). XV Artículo 37 del RGPD El artículo 37 “Designación del delegado de protección de datos” establece: “1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que: (…)
c)las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.” En este mismo sentido, el artículo 34 LOPDD “Designación de un delegado de protección de datos” establece que: “1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades: (…)
c)Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala. (…) 3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44 En el presente caso y dada la actividad de RAMONA, es evidente la obligación de designar un Delegado de Protección de Datos; además, consta, por afirmación del propio responsable del tratamiento que actúa como Delegado de Protección de Datos de RAMONA D. A.A.A.(***EMAIL.1). Si bien, no consta este Delegado de Protección de Datos en los sistemas de esta Agencia pese a la obligación de comunicarlo en el plazo de diez días a este organismo. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a RAMONA, por vulneración del artículo 37 del RGPD. XVI Tipificación del artículo 37 del RGPD La citada infracción del artículo 37 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)las obligaciones del responsable y del encargado a tenor de los artículos 8,11,25 a 39, 42 y 43 (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
v)El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE)2016/679 y el artículo 34 de esta ley orgánica. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 XVII Sanción por la infracción del artículo 37 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: Como agravantes: -
b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…). -
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. -
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/44 Tal y como consta en su página web “RAMONA FILMS, S.L. es una productora fundada en Madrid en 2019; si bien, lleva más de 20 años creando contenidos para internet. Sus vocaciones son el humor, la erótica, el documental, las series, los debates, la animación, el contenido personal”. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 37 del RGPD, permite fijar una sanción de 10.000 € (DIEZ MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en OCHO MIL EUROS (8.000€). XVIII Artículo 38.6 del RGPD El artículo 38 “Posición del delegado de protección de datos” establece: (…) 6. El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses. En el presente caso, consta un contrato de encargo de tratamiento con el proveedor de hosting COMVIVE SERVIDORES SL, en el que se recoge textualmente: “En relación con las partes que suscriben el contrato se especifica: “De una parte, B.B.B. , con DNI ***NIF.2 , como representante legal de la empresa Comvive Servidores S.L. , con CIF B91315804 y con domicilio en C/ ***DIRECCIÓN.2, de ahora en adelante ENCARGADO DEL TRATAMIENTO, y de otra, A.A.A., con DNI ***NIF.1, como Delegado de protección de datos de la empresa RAMONA FILMS S.L.U, con CIF B87763405 y con domicilio en ***DIRECCIÓN.1, de ahora en adelante RESPONSABLE DEL TRATAMIENTO” A la vista del contrato de encargado de tratamiento se infiere una clara confusión entre las figuras del responsable del tratamiento y la del Delegado de Protección de Datos. El Delegado de Protección de datos está actuando y firmando como responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/44 El Delegado de Protección de Datos no puede informar, asesorar y supervisar un contrato de encargado de tratamiento, en los términos del art. 39 del RGPD, funciones encomendadas específicamente al mismo por el RGPD, y a la vez suscribir aquello sobre lo que hay que informar, asesorar y supervisar, porque supone un conflicto de intereses, tal y como ha sucedido en el presente caso. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a RAMONA, por vulneración del artículo 38.6 del RGPD XIX Tipificación de la infracción del artículo 38.6 del RGPD La citada infracción del artículo 38.6 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)las obligaciones del responsable y del encargado a tenor de los artículos 8,11,25 a 39, 42 y 43 (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
w)No posibilitar la efectiva participación del delegado de protección de datos en todas las cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el desempeño de sus funciones. (…)” XX Sanción por la infracción del artículo 38.6 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.3 del RGPD: Como agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/44 -
b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuestos en la (…). -
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La parte reclamada ha sido sancionada con anterioridad por incumplimientos del RGPD. En el marco del procedimiento sancionador PS/00483/2021, se dictó resolución de 1 de marzo de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por la infracción de los artículos 13 del Reglamento General de Protección de Datos (RGPD), al recabar datos personales de los usuarios de las páginas web de su titularidad sin haberla adaptado a la normativa vigente en materia de protección de datos y 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), respecto a las irregularidades detectadas en la “Política de Cookies” de la página web se dictó resolución. En el marco del procedimiento sancionador PS/00098/2022, se dictó resolución de 5 de abril de 2022 de terminación voluntaria del procedimiento sancionador, al acogerse a las dos reducciones previstas en el art. 85 de la LPACAP (reconocimiento de responsabilidad y pago voluntario). Se sancionaba a RAMONA FILMS, SL, por no contestar a los requerimientos de información notificados en el marco del E/02426/2021, por infracción del art. 58.1 del RGPD. -
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Tal y como consta en su página web “RAMONA FILMS, S.L. es una productora fundada en Madrid en 2019; si bien, lleva más de 20 años creando contenidos para internet. Sus vocaciones son el humor, la erótica, el documental, las series, los debates, la animación, el contenido personal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/44 En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 38.6 del RGPD, permite fijar una sanción de 15.000 € (QUINCE MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en DOCE MIL EUROS (12.000€). XXI Política de Cookies Artículo 22.2 LSSI El artículo 22.2 de la LSSI, establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. El artículo 22.2 de la LSSI exige que se facilite a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/44 En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes.  Sobre el banner de información de cookies existente en la primera capa (página principal): El banner sobre cookies de la primera capa deberá incluir información referente a la identificación del editor responsable del sitio web, en el caso de que sus datos identificativos no figuren en otras secciones de la página o que su identidad no pueda desprenderse de forma evidente del propio sitio. Deberá incluir también una Identificación genérica de las finalidades de las cookies que se utilizarán y si éstas son propias o también de terceros, sin que sea necesario identificarlos en esta primera capa. Además, deberá incluir información genérica sobre el tipo de datos que se van a recopilar y utilizar en caso de que se elaboren perfiles de los usuarios y deberá incluir información y el modo en que el usuario puede aceptar, configurar y rechazar la utilización de cookies, con la advertencia, en su caso, de que, si se realiza una determinada acción, se entenderá que el usuario acepta el uso de las cookies. A parte de la información genérica sobre cookies, en este banner deberá existir un enlace claramente visible dirigido a una segunda capa informativa sobre el uso de las configuración de cookies, siempre que el acceso al panel de configuración sea directo, esto es, que el usuario no tenga que navegar dentro de la segunda capa para localizarlo.  Sobre el consentimiento a la utilización de cookies no necesarias: Para la utilización de las cookies no exceptuadas, será necesario obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso a la segunda capa si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/44 el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. No está permitido tampoco la existencia de “Muros de Cookies”, esto es, ventanas emergentes que bloquean el contenido y el acceso a la web, obligando al usuario a aceptar el uso de las cookies para poder acceder a la página y seguir navegando. Si la opción es dirigirse a una segunda capa o panel de control de cookies, el enlace debe llevar al usuario directamente a dicho panel de configuración. Para facilitar la selección, en el panel podrá implementarse, además de un sistema de gestión granular de cookies, dos botones más, uno para aceptar todas las cookies y otro para rechazarlas todas. Si el usuario guarda su elección sin haber seleccionado ninguna posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción podría ser considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular, en su propia página web. Por otra parte, la retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite retirar el consentimiento de forma fácil en cualquier momento. Se considerará que esa facilidad existe, por ejemplo, cuando el usuario tenga acceso sencillo y permanente al sistema de gestión o configuración de las Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello.  Sobre la información suministrada en la segunda capa (Política de Cookies): En la Política de Cookies se debe proporcionar información más detallada sobre las características de las cookies, incluyendo información sobre, la definición y función genérica de las cookies (qué son las cookies); sobre el tipo de cookies que se utilizan y su finalidad (qué tipos de cookies se utilizan en la página web); la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros con identificación de estos últimos; el periodo de conservación de las cookies en el equipo terminal; y si es el caso, información sobre las transferencias de datos a terceros países y la elaboración de perfiles que implique la toma de decisiones automatizadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/44 En el presente caso y según consta en el informe de actuaciones previas, se han observado las siguientes anomalías:  Sobre el portal web ***URL.1 del que es responsable de tratamiento RAMONA: El responsable de tratamiento RAMONA FILMS SL afirma y reconoce que, a fecha de recibir nuestro requerimiento de información de fecha 16 de septiembre de 2022, se estaban instalando cookies para las que no se ofrecía información alguna al usuario. También afirma que se estaban instalando para ello uso del panel de configuración de cookies que tiene habilitado el portal. Afirman que lo anterior estaba ocurriendo debido a un error técnico y que se ha corregido de forma inmediata, llevando a cabo las pruebas pertinentes. Ha quedado constatado que se utilizan dos cookies para obtener la localización del usuario, estas almacenan información del país y la región (por ejemplo España/Madrid) de procedencia no obteniéndose una localización precisa del usuario. Según la política de cookies el propósito de estas cookies de localización aproximada es poder ofrecer al usuario webcams según su región. No se utilizan cookies para obtener la dirección IP del usuario, no obstante, este dato sí se trata y almacena para todos aquellos usuarios que cumplimentan el formulario de suscripción a los servicios del portal.  Sobre el portal web ***URL.2 del que es responsable de tratamiento: Al acceder al portal se muestra ventana emergente para gestionar la instalación de cookies por parte del usuario, mostrando tres categorías distintas: cookies técnicas (se instalan siempre), cookies analíticas (se instalan a petición del usuario) y cookies de publicidad (se instalan a petición del usuario). No obstante, entre las cookies que siempre se instalan existe la accediendo al portal. XXII Tipificación de la infracción en la Política de Cookies La citada infracción del artículo 22 de la LSSI supone la comisión de una infracción leve según lo dispuesto en el artículo 38.4 de la LSSI: “
g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.(…)” A este respecto, el artículo 39 de la citada ley establece que: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/44
c)Por la comisión de infracciones leves, multa de hasta 30.000 euros. (…)” XXIII Sanción en la Política de Cookies A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI: Como agravantes: -
a)La existencia de intencionalidad.; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto, en los términos dispuesto en la (…). El balance de las circunstancias contempladas en el artículo 40 de la LSSI y el artículo 39 de la LSSI, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 22.2 de la LSSI, permite fijar una sanción de 15.000 € (QUINCE MIL EUROS). De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, dicha sanción lleva aparejada una reducción de un 20% del importe total de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en DOCE MIL EUROS (12.000€). XXIV Reconocimiento de responsabilidad De conformidad con lo dispuesto en el artículo 85 de la LPACAP y habiendo reconocido su responsabilidad dentro del plazo otorgado para la formulación de alegaciones, las sanciones que procede imponer en el presente procedimiento llevan aparejada una reducción de un 20% del importe total de la misma. XXV Adopción de medidas El artículo 58.2 del RGPD establece los poderes correctivos de los que dispone una autoridad de control. El apartado
d)del precepto citado establece que puede consistir en “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/44 En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, pues estas medidas han de ser tendentes a solventar los incumplimientos detectados por la AEPD, cumpliendo con el RGPD. Considerando las infracciones declaradas, y ante el reconocimiento de responsabilidad declarado por RAMONA, sin ánimo de ser exhaustivo, procede imponer a la misma entre otras, de acuerdo con lo establecido en el artículo 58.2.
d)del RGPD, las medidas consistentes en: - Comunicación a esta AEPD del nombramiento del Delegado de Protección de Datos de la entidad. Adecuación del contenido del contrato de encargado de tratamiento suscrito con el proveedor de hosting COMVIVE SERVIDORES SL. a la normativa de protección de datos. Suscripción de contrato de encargado de tratamiento con la empresa CCBILL EU Ltd de conformidad con las previsiones de la normativa de protección de datos. Adecuación la política de privacidad a la normativa vigente en materia de protección de datos. Adecuación la política de cookies a la normativa vigente de aplicación. Establecimiento de las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales. Acreditación de la habilitación de una casilla de aceptación (checkbox) que el usuario debe aceptar, con un enlace a la política de privacidad. En relación a la última cuestión, de una simple lectura de la resolución administrativa se observa que, en relación con los mecanismos implantados por RAMONA para acceder a sus páginas web, estos permiten acceder a los contenidos del portal y tratar los datos personales sin verificarse efectivamente la mayoría de edad del usuario, puesto que se accede simplemente declarado la edad a través de una ventana emergente que se muestra al acceder a la página, pulsando un botón con el texto “Soy mayor de 18 años”. Los mecanismos establecidos por el responsable del tratamiento sólo sirven para declarar la edad y no sólo son ineficaces porque no sirven para impedir que accedan menores de edad (verificar la edad) y que se traten sus datos personales, sino que además no funcionan al poder ser fácilmente eludidos. Y todo ello sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/44 RAMONA informó a esta Agencia Española de Protección de Datos, en el mismo escrito en el que reconoció su responsabilidad, que estaban inmersos en la realización de los cambios solicitados, pero que, para la efectiva realización de todos ellos, más teniendo en cuenta las fechas en las que estábamos, precisarían de unas semanas adicionales. Concretamente, las dificultades encontradas en la integración de las soluciones desarrolladas por terceros para la verificación de edad estimaban que requerirían de 8 a 10 semanas. Si bien; en ningún momento, se ha acreditado la implementación de dichos cambios ni se ha informado de su correcta implementación a la AEPD, cuestión por la que se imponen las medidas en la presente resolución. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a RAMONA FILMS, S.L., con NIF B87763405, - Por la infracción del artículo 6.1.
a)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 40.000,00 euros - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 1.600,00 euros. - Por la infracción del artículo 28.3 del RGPD, tipificada en el artículo 83.4 de dicha norma, al no ajustarse al contenido mínimo exigido el contrato de encargado de tratamiento suscrito con el proveedor de hosting COMVIVE SERVIDORES SL, multa administrativa de cuantía 32.000,00 euros. - Por la infracción del artículo 28.3 del RGPD, tipificada en el artículo 83.4 de dicha norma, al no existir contrato de encargado de tratamiento con CCBILL EU Ltd, multa administrativa de cuantía 40.000,00 euros. - Por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 48.000,00 euros - Por la infracción del artículo 37 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 8.000,00 euros. - Por la infracción del artículo 38.6 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 12.000,00 euros. - Por la infracción del artículo 22.2 de la LSSI, tipificada en el artículo 38.4.
g)de dicha norma, multa administrativa de cuantía 12.000,00 euros. SEGUNDO: ORDENAR a RAMONA FILMS, S.L., con NIF B87763405, que en virtud del artículo 58.2.
d)del RGPD, en el plazo de un mes, informe de: - Nombramiento del Delegado de Protección de Datos de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/44 - Contenido del contrato de encargado de tratamiento suscrito con el proveedor de hosting COMVIVE SERVIDORES SL. conforme a la normativa de protección de datos. Contrato de encargado de tratamiento suscrito con la empresa CCBILL EU Ltd de conformidad con las previsiones de la normativa de protección de datos. Adecuación la política de privacidad a la normativa vigente en materia de protección de datos. Adecuación la política de cookies a la normativa vigente de aplicación. Establecimiento de las medidas de seguridad adecuadas para adaptar los sistemas o mecanismos de verificación de la edad a las exigencias legales. Acreditación de la habilitación de una casilla de aceptación (checkbox) que el usuario debe aceptar, con un enlace a la política de privacidad. TERCERO: NOTIFICAR la presente resolución a RAMONA FILMS, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/44 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.