PS-00347-2021

1/8  Procedimiento PS/00347/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Mediante Acuerdo de fecha 24/08/21, se inició el procedimiento sancionador, PS/0347/2021, instruido por la Agencia Española de Protección de Datos a A.A.A., (Academia Zendal), con NIF.: ***NIF.1, titular de la página web: www.academiazendal.es, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por B.B.B.(en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 08/03/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “La página web www.academiazendal.es es una academia que no da ningún dato sobre su empresa no se sabe si está dada de alta ni quienes son los responsables, ni aviso legal, ni protección de la privacidad ni política de cookies, no aparece ningún dato de correo electrónico para contactar”. SEGUNDO: Con fecha 03/06/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 21/06/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, se adjuntaba la “Política de Privacidad” y la “Política de Cookies” de la página web denunciada. CUARTO: Con fecha 29/06/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 16/08/21, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, www.academiazendal.es:

1. a)Sobre el tratamiento de datos personales: A través del formulario existente en el enlace <<contacto>> es posible introducir datos personales del usuario, como el nombre, el correo electrónico y el asunto. Antes de poder enviar el formulario, es obligatorio aceptar la “Política de Privacidad” y marcar la casilla correspondiente: _ He leído y acepto la <<política de privacidad>> y el <<aviso legal>>
2. b)Sobre la Política de Privacidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Si se opta por acceder a la “Política de Privacidad” a través de los enlaces existentes en el formulario y en la parte inferior de la página principal, la web redirige a una nueva página, https://academiazendal.es/politica-de-privacidad/ , donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos.
3. c)Sobre la Política de Cookies: 1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se detectó la utilización de cookies que no eran técnicas o necesarias: _gid; _gat y _ga. 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Su privacidad es importante para nosotros Nosotros y nuestros socios almacenamos o accedemos a información en un dispositivo, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para anuncios y contenido personalizados, medición de anuncios y del contenido e información sobre el público, así como para desarrollar y mejorar productos. Con su permiso, nosotros y nuestros socios podemos utilizar datos de localización geográfica precisa e identificación mediante las características de dispositivos. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento previamente descrito. De forma alternativa, puede acceder a información más detallada y cambiar sus preferencias antes de otorgar o negar su consentimiento. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Sus preferencias se aplicarán solo a este sitio web. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. <<MÁS OPCIONES>>--<<ACEPTO>> 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<más opciones>>, la web despliega el siguiente panel de control, donde se pueden gestionar los grupos de cookies de forma granular, estando éstos premarcados en la opción de <<desactivado>>: Su privacidad es importante para nosotros: Nosotros y nuestros socios almacenamos o accedemos a información en dispositivos, tales como cookies, y procesamos datos personales, tales como identificadores únicos e información estándar enviada por un dispositivo, para los propósitos descritos a continuación. Puede hacer clic para otorgarnos su consentimiento a nosotros y a nuestros socios para que llevemos a cabo el procesamiento con dichos propósitos. De forma alternativa, puede hacer clic para denegar su consentimiento o acceder a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 información más detallada y cambiar sus preferencias antes de otorgar su consentimiento. Sus preferencias se aplicarán solo a este sitio web. Tenga en cuenta que algún procesamiento de sus datos personales puede no requerir de su consentimiento, pero usted tiene el derecho de rechazar tal procesamiento. Puede cambiar sus preferencias en cualquier momento entrando de nuevo en este sitio web o visitando nuestra política de privacidad. - Datos de localización geográfica precisa e identificación mediante las características de dispositivos <<DESACTIVADO>> - Anuncios y contenido personalizados, medición de anuncios y del contenido, información sobre el público y desarrollo de productos <<DESACTIVADO>> - Crear un perfil publicitario personalizado <<DESACTIVADO>> <<Guardar y salir>>-- <<acepto>> Si se opta por no activar ningún grupo de cookies y cliquear en la opción de “guardar y salir” del panel de control, se comprueba que la web sigue utilizando las mismas 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, https://academiazendal.es/politica-de-cookies/ , donde se proporciona información sobre, qué son las cookies, qué tipos de cookies existen, identifica las cookies que utiliza la página web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas), así como, la gestión de las cookies a través de los navegadores instalados en los equipos terminales. SEXTO: Con fecha 24/08/21, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, dirigiéndola un “apercibimiento” y ordenándola que, tomase las medidas necesarias sobre la página web de su titularidad para incluir un mecanismo que imposibilite la utilización de cookies no necesarias antes de que el usuario dé su consentimiento. SÉPTIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 02/09/21 indicó lo siguiente: “Como responsable de la creación de la página www.cademiazendal.es realicé las modificaciones según requerimientos de la Agencia, activando la política de privacidad, política de cookies y aviso legal, poniendo en la política de cookies la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 posibilidad de que el usuario a la hora de entrar por primera vez en la web puede elegir el tipo de cookies que quiere que se le instalen”. OCTAVO: Con fecha 02/11/21, por parte de esta Agencia se realizaron las siguientes comprobaciones en la página web, www.academiazendal.es, respecto de la política de sean técnicas o necesarias. HECHOS PROBADOS 1º.- Según el reclamante, la página web, www.academiazendal.es. La página web www.academiazendal.es es una academia que no da ningún dato sobre su empresa no se sabe si está dada de alta ni quienes son los responsables, ni aviso legal, ni protección de la privacidad ni política de cookies, no aparece ningún dato de correo electrónico para contactar 2º.- Consultada la página web, por parte de esta Agencia, el 16/08/21, se pudo constatar las siguientes características en la misma: - Sobre la posibilidad de introducir datos personales, existe la posibilidad de recopilar datos personales de los usuarios, a través del formulario existente en el enlace <<contacto>>. Antes de poder enviar el formulario, es obligatorio aceptar la “Política de Privacidad” y marcar la casilla correspondiente. - Sobre la política de privacidad, existe en el formulario y en la parte inferior de la página principal un enlace que redirige a la “Política de Privacidad”, donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. - Sobre la política de cookies, se comprobó que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se detectó la utilización de cookies que no eran técnicas o necesarias: _gid; _gat y _ga. El banner sobre cookies que aparece en la página principal de la web tiene la opción de aceptar todas las cookies o de redirigir al usuario al panel de control de cookies y en dicho panel, los grupos de cookies se encuentran premarcados en la opción de “deshabilitados”. No obstante, si se opta por no activar ningún grupo de cookies y cliquear en la opción de “guardar y salir” del panel de control, se comprueba que la web sigue utilizando las mismas cookies no necesarias indicadas anteriormente. 3º.- Iniciado el presente procedimiento sancionador, respecto de la “Política de ordenándole que, tomase las medidas necesarias para incluir un mecanismo que imposibilitase la utilización de cookies no necesarias antes de que el usuario dé su consentimiento, la entidad reclamada manifestó a esta Agencia haber solucionado los errores detectados en la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 4º.- Por parte de esta Agencia se comprobó, con fecha 02/11/21 que, al entrar en la página inicial de la web, ya no se utilizan cookies que no sean técnicas o necesarias para el correcto funcionamiento de la web. FUNDAMENTOS DE DERECHO I.- Competencia Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II.- Sobre la posible infracción en la Política de Cookies de la web: Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), al entrar en la página inicial de la web, (primera capa), se utilizan En este sentido, el artículo 22.2 de la LSSI, donde se establecen los Derechos de los destinatarios de servicios de la sociedad de la información, se indica que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Cookies”, de la página web reclamada, no se contradice con lo estipulado en el artículo 22.2 de la LSSI. -En este sentido, el artículo 89.1.
4. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) establece, sobre la Propuesta de resolución en los procedimientos de carácter sancionador, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
5. a)La inexistencia de los hechos que pudieran constituir la infracción (…)”. --Se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento su derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resolución administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la parte reclamada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir”, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
6. c)de la Ley.” Esta sentencia interpreta o liga apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse cumplido las medidas esperadas relacionadas con la infracción, en este caso, la adaptación de la política de cookies a la legislación vigente se debería archivar el procedimiento, tal y como se deduce del fundamento SEXTO de la Sentencia citada. Por tanto, en el presente caso, después del análisis realizado en la página web objeto de la reclamación, de los documentos aportados y las circunstancias concurrentes, no se evidencia vulneración de la legislación vigente sobre la política de cookies de la página web reclamada, al haber modificado correctamente su política en este aspecto. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: ARCHIVAR: el presente procedimiento sancionador a A.A.A., (Academia Zendal), con NIF.: ***NIF.1, titular de la página web: www.academiazendal.es, por presunta infracción del artículo 22.2 de la LSSI. NOTIFICAR: la presente resolución a A.A.A., (Academia Zendal), e informar a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es