PS-00311-2020

1/7  Procedimiento Nº: PS/00311/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00285/2020, instruido por la Agencia Española de Protección de Datos a la entidad METRO7, EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.R.L. con CIF.: B99409906, titular de la página web, www.metro7.es , (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 29/02/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “Tras ir a realizar una solicitud a través de la página www.metro7.es,observo que utiliza hasta 8 tipos de cookies distintos y ni informa ni solicita permiso alguno, además carece de aviso legal o cualquier otra información sobre tratamiento de datos, incluyendo un formulario de contacto que recoge datos”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 29/05/20 se dirigen requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 29/06/20, se recibe en esta Agencia, escrito de contestación al requerimiento por parte de la entidad reclamada, en el cual se informa, entre otras, de lo siguiente: “Que, tras la puesta en funcionamiento y publicación de la nueva página web de METRO7 («https://metro7.es») en fecha 28 de febrero de 2020 mediante la que se actualiza el contenido, plantillas y navegación de la misma, aparecieron ciertos problemas en el servicio de hosting que imposibilitaban que ciertas funciones de dicha página web fueran visibles para los usuarios que accedían a la misma. Que estos hechos produjeron que los textos legalmente establecidos (aviso legal, política de privacidad y política de cookies) no pudiesen ser advertidos por el público que accedía a la web, lo que derivó en la reclamación de 29 de febrero de 2020 que un usuario afectado realizó ante la AEPD. A efectos de probar este problema con el servicio hosting se adjunta como Documento nº1, el correo electrónico enviado a la mercantil con la que se suscribió el contrato de desarrollo del sitio web «https://metro7.es/» en el que se advierten los problemas existentes con ciertas funcionalidades de la citada página web. Que, inmediatamente posterior al conocimiento de esta problemática, el desarrollador de la web adoptó las medidas necesarias para adecuar la página web en cuestión a la normativa vigente en protección de datos y servicios de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Se incluyó en la web los textos pertinentes que hacen referencia a: - Aviso legal. - Política de Privacidad. Y - Política de Cookies. Se puede comprobar en la política de privacidad publicada en la web, las finalidades por las que se tratan datos personales son: el mantenimiento de comunicaciones entre las partes; la resolución de dudas y consultas planteadas por los clientes; y, proveer a estos últimos del acceso a la información referente a nuestros servicios. En este sentido, se ha incluido la información que exige el artículo 13 del RGPD. Que, en referencia al tratamiento de datos de los usuarios y almacenamiento de los mismos, existen ciertos apartados dentro de la página web donde los usuarios pueden introducir datos personales. En este sentido los apartados son los siguientes: Apartado de «contacto» (https://metro7.es/contacto/): que se ha introducido en el apartado de contacto un checklist en el que se exige aceptar las condiciones de privacidad (además de enlazar con las mismas) y el uso de datos y otro en el que el usuario otorga el consentimiento para el tratamiento de los datos. Apartado de «encuentra tu vivienda» (https://metro7.es/encuentra-m7/): se ha introducido un checklist en el que se exige aceptar las condiciones de privacidad (además de enlazar con las mismas) y el uso de datos, así como el consentimiento para el almacenamiento de información. Apartado de «test energético» (https://metro7.es/testenergetico/): se ha introducido un checklist en el que se exige aceptar las condiciones de privacidad (además de enlazar con las mismas) y el uso de datos, así como el consentimiento para el almacenamiento de información. Se aporta, además, como Documento nº3 la información a contactos recibidos en el formulario web y enlaces web. El artículo 65.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece que: “la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos”. Es un hecho palmario que el incumplimiento se produjo en un espacio temporal muy corto y que se adoptaron todas las medidas posibles para poner fin al incumplimiento, por lo que atendiendo al artículo citado en el párrafo precedente la AEPD debería inadmitir la reclamación objeto de este escrito de contestación. Que entiende esta parte que queda totalmente acreditado, a través de la información aportada al presente escrito, que los derechos de los usuarios de la página web que ocupa este escrito, en cuanto a la protección del tratamiento de datos personales se refiere, se encuentra plenamente garantizada. CUARTO: Con fecha 20/09/20, por parte de esta Agencia, se ha comprobado los siguientes aspectos, respecto de la política de privacidad y la política de cookies de la página web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 En la página principal de la web www.metro7.es, a través del enlace: <<contacto>> https://metro7.es/contacto, situado en la parte superior de la misma, la web puede recopilar datos personales de los usuarios, como el nombre, los apellidos, el correo electrónico y el número de teléfono. En este formulario, existe un espacio destinado para incluir la consulta que se hace la entidad con el título: “Cuéntanos que te ha gustado de nuestra web o en que podemos trabajar para ti: ___”, no obstante, para poder enviar la opinión o consulta, es obligatorio haber aceptado previamente las dos condiciones siguientes: “_ Doy mi consentimiento para que esta web almacene la información que envío para que puedan responder a mi cuestión”. “_ Acepto las condiciones de privacidad, así como el uso de los datos para recibir comunicaciones informativas de METRO 7 EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.L”. - Respecto de la Política de Privacidad: Existe un link en la parte inferior de la página principal, con el título de “Política de Pri vacidad”, que redirige a una página, https://metro7.es/aviso-legal-condiciones-de-privacidad-y-politica-de-cookies/, en la cual se informa de: los datos identificativos de la entidad; la legitimación para el tratamiento de los datos; los destinatarios de los datos; los derechos de los usuarios; por cuánto tiempo conservan los datos; Informa que NO comunicarán datos a terceros e informa que NO se prevé la transferencia internacional de datos. Sobre la finalidad a la que se destina el tratamiento de los datos personales, se indica: “METRO 7 EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.L., trata la información que nos facilitan las personas interesadas con el fin de mantener la comunicación entre ambas partes, la resolución de dudas y consultas planteadas”. - Respecto de la Política de Cookies: Al acceder a la página principal de la web, www.metro7.es , (primera capa), existe un banner en la parte inferior de la misma, con el siguiente mensaje: “Este sitio web utiliza cookies PHP para mantener la sesión del navegador y cookies de terceros (Google Analytics) para realizar tareas de analítica de visitas. Al continuar con tu navegación entendemos que aceptas nuestra Política de Cookies”. <<ACEPTAR>> <<RECHAZAR>> Si se accede a la “Política de Cookies”, a través del enlace existente en el banner, la web redirige a una página donde se proporciona información sobre, qué son las QUINTO: Con fecha 14/10/20, la Directora de la Agencia Española de Protección de Datos acordó abrir procedimiento sancionador por infracción artículo 7 del RGPD mencionado, al ser obligatorio dar el consentimiento para recibir comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 comerciales de la entidad cuando se envía el cuestionario para solicitar información o simplemente enviar una opinión sobre la web. SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 16/10/20, remite a esta Agencia, escrito de alegaciones, en el cual, entre otras, indica: “PRIMERO: Por un lado, se nos indicó por parte de la Agencia Española de Protección de Datos que al prestar el consentimiento a través de la página web, zona contacto, se establecía “Acepto las condiciones de privacidad, así como el uso de sus datos para recibir comunicaciones informativas de METRO7 EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.L.” Según indica la propia agencia en su escrito este hecho vulnera los derechos del usuario ya que se abre la puerta a que el usuario reciba cualquier tipo de notificación, aun no estando en relación con la finalidad última para la cual se han recabado los datos personales. En relación con la deficiencia indicada hemos llevado a cabo las acciones procedentes de adecuación en nuestra página web de tal forma que el consentimiento prestado por los usuarios no lleve implícito de forma obligatoria la posibilidad de envío de cualquier tipo de comunicación sin que exista base legal de tratamiento de los datos, por lo que las posibles comunicaciones informativas se realizarán previo acepto voluntario. Con la finalidad de acreditar este punto antes indicado adjuntamos enlace para su comprobación y mostramos apartado de contacto: https://metro7.es/contacto/ SÉPTIMO: Con fecha 12/02/21, por parte de esta Agencia, se comprueban los siguientes aspectos en la página web: En la página principal de la web www.metro7.es, a través del enlace <<contacto>> https://metro7.es/contacto, situado en la parte superior de la misma, la web puede recopilar datos personales de los usuarios, como el nombre, los apellidos, el correo electrónico y el número de teléfono. En este formulario, el espacio destinado a la consulta tiene el título: “Cuéntanos que te ha gustado de nuestra web o en que podemos trabajar para ti___”, pero para enviar el cuestionario es obligatorio haber aceptado previamente las condiciones de privacidad. Existe la posibilidad de dar el consentimiento, si se desea, para que la web almacene la información necesaria para responder a la petición y también para recibir comunicaciones comerciales de la entidad, marcando las casillas correspondientes, situadas debajo del formulario. HECHOS PROBADOS 1.- Según manifestó el reclamante en su escrito, tras ir a realizar una solicitud a través de la página www.metro7.es ,observo que la política de cookies y la política de privacidad no se ajustaban a la legislación vigente. 2.- Por parte de esta Agencia, se comprobó que la web en cuestión podía recopilar datos personales de los usuarios, a través del cuestionario existente la pestaña, <<contacto>> destinado a realizar consultas a la entidad o enviar opiniones sobre la web, pero para enviar el cuestionario con la consulta o con la opinión, era obligatorio acepC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 tar previamente las condiciones de privacidad y dar el consentimiento para que la web almacenara los datos personales y poder enviar comunicaciones comerciales. 2.- En la Política de Privacidad se informaba de los datos identificativos de la entidad; la legitimación para el tratamiento de los datos; los destinatarios; los derechos de los usuarios; por cuánto tiempo conservaban los datos e informaba que no comunicarían datos a terceros y que no se realizarían transferencias internacionales de datos. 3.- Sobre la política de cookies, se comprobó que, al acceder a la página principal de la web, (primera capa), existía un banner, con el siguiente mensaje: “Este sitio web utiliza cookies PHP para mantener la sesión del navegador y cookies de terceros (Google Analytics) para realizar tareas de analítica de visitas. Al continuar con tu navegación entendemos que aceptas nuestra Política de Cookies”. <<ACEPTAR>> <<RECHAZAR>> Si se accedía a la “política de cookies”, a través del enlace existente en el banner, la web redirigía a una página donde se proporciona información sobre, qué son las 4.- Tras iniciar el presente procedimiento sancionador, por infracción del artículo 7 del RGPD, la entidad reclamada, en el periodo de alegaciones, remitió a esta Agencia, escrito indicando haber procedido a la adecuación de la página web, de tal forma que el consentimiento prestado por los usuarios no llevase implícito la posibilidad del envío de cualquier tipo de comunicación sin que exista base legal de tratamiento de los datos. 5.- Por parte de esta Agencia, se ha podido comprobar después que, en el formulario existente en la web, antes de enviar la consulta o la opinión sobre la web, es obligatorio haber aceptado previamente las condiciones de privacidad. 6.- Existe la posibilidad, si el usuario lo desea, de dar su consentimiento para que la entidad le envíe comunicaciones comerciales, marcando la casilla correspondiente situada en el formulario de contacto. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso”. II En el presente caso, se reclamaba que la página web www.metro7.es , no cumplía la legislación vigente en su “Política de Cookies” ni en su “Política de Privacidad”. No obstante, esta Agencia, comprobó que, en su “Política de Privacidad”, se informaba de, los datos identificativos del responsable del tratamiento de los datos; la legitimación para el tratamiento; los destinatarios de los datos; los derechos de los usuarios; por cuánto tiempo conservan los datos; informa que no comunicarán datos a terceros e informa que no se realizaban transferencias internacionales de datos. Respecto de la “Política de Cookies” se constató que, el banner existente en la página principal informaba de la utilización de cookies propia y de terceros para realizar tareas analíticas de las visitas. Además, posibilitaba aceptar todas las cookies o rechazar todas las cookies. Por su parte, en la “Política de Cookies” (segunda capa), se proporcionaba información sobre, qué son las cookies y qué tipos de cookies utiliza esta página web. No obstante, se comprobó que la web podía recopilar datos personales de los usuarios, cuando estos hacían una consulta a la entidad o la enviaban un comentario, pero para enviar dicha consulta o comentario debían aceptar que la entidad guardara sus datos personales y les enviara comunicaciones comerciales. Una vez abierto expediente sancionador por este último motivo, la entidad remitió a esta Agencia escrito de alegaciones en el cual indicaba haber subsanado la deficiencia. Cuestión que fue corroborada por esta Agencia, comprobándose que, en el formulario existente en la web, antes de enviar la consulta o la opinión sobre la web, es necesario haber aceptado previamente las condiciones de privacidad y que, por otra parte, para recibir comunicaciones comerciales de la entidad, el usuario debe haber marcado antes la casilla del consentimiento. Por tanto, a la vista de los hechos expuesto, la Directoria de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad METRO7, EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.R.L. con CIF.: B99409906, titular de la página web, www.metro7.es por la infracción cometida del artículo 7 del RGPD, al no haber adaptado la recogida del consentimiento de los usuarios para el envío de comunicaciones comerciales, hasta no haber recibido la incoación del presente expediente sancionador. NOTIFICAR: la presente resolución a la METRO7, EDIFICACIÓN SINGULAR Y CONSTRUCCIÓN SOSTENIBLE S.R.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es