PS-00370-2019

1/4  Procedimiento Nº: PS/00370/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00370/2019, instruido por la Agencia Española de Protección de Datos, ante la entidad SOTA S.C.P., titular de la página web ***URL.1, (en adelante, “la entidad reclamada”), por presunta infracción a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 03/09/18, D. A.A.A. (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “La web ***URL.1, dedicada a la venta online de productos varios, incumple la vigente normativa en materia de Protección de Datos ya que carece de Política de Cookies y su correspondiente pestaña emergente informativa”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), Así, con fecha 25/10/18, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Correos, el requerimiento enviado a la entidad reclamada, a la dirección ***DIRECCIÓN.1, ha resultado devuelto a origen por “sobrante”, (No retirado en oficina). CUARTO: Consultada la página web, ***URL.1, con fecha ***FECHA.1, se observa que no existe ningún banner o link que redirija a la “política de cookies”. Tampoco existe ningún aviso de la instalación cookies. QUINTO: Con fecha 04/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra el titular de la página web reclaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 mada, en virtud de los poderes establecidos en el artículo 43.1 de la LSSI, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo al titular de dicha página que: “un mecanismo que permita informar, a los usuarios de la web, sobre las cookies que se instalan cuando se accede a la página en cuestión y la política que se aplica sobre ellas, así como, la identificación del responsable de la página y del tratamiento de los datos de carácter personal que se realizan en la misma con la inclusión en la página, de un mecanismo que permita la configuración de las mismas”. SEXTO: Con fecha 16/11/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web reclamada, con fecha ***FECHA.1, se observa que, el sitio web no dispone de aviso sobre la instalación de cookies ni política sobre ellas, aunque instala una cookie con el contenido de la cesta de la compra en el equipo del visitante. No dispone de “aviso legal” y no se puede identificar al responsable de la página web ni al responsable del tratamiento de datos por carecer de información al respecto. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II En el presente caso, si se accede a la web ***URL.1 se observa que no dispone de aviso sobre la instalación de cookies ni política sobre ellas, aunque instala una cookie con el contenido de la cesta de la compra en el equipo del visitante. No dispone de “aviso legal”. III Los hechos expuestos suponen, por parte de la entidad reclamada, la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. Esta Infracción estas tipificada como leve en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. III A tenor de lo establecido en el artículo 39.1. c) de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos. RESUELVE APERCIBIR: a la entidad SOTA S.C.P. titular de la página web ***URL.1, por infracción del artículo 22.2 de la LSSI, tipificada en el artículo 39.1 de la citada Ley. REQUERIR: a la entidad SOTA S.C.P. para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su página web a lo estipulado en el artículo 22.2 de la LSSI, para lo que podrá seguir las recomendaciones publicadas, por esta AEPD, en su “Guía Sobre Uso de las Cookies”, en noviembre de 2019. NOTIFICAR la presente resolución a la entidad SOTA S.C.P. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es