PS-00371-2020

1/8  Procedimiento Nº: PS/00371/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00371/2020, instruido por la Agencia Española de Protección de Datos a D. A.A.A. con NIF.: ***NIF.1, titular de la página web, www.vaporlibre.com y www.vaporlibre.es , (en adelante, “la persona reclamada”), en virtud de denuncia presentada por D. B.B.B., (en adelante, “el reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 25/03/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “La web www.vaporlibre.com , no verifica mayoría de edad en el acceso, como obliga el Real Decreto Ley 17/2017 de 17 de Noviembre, ya que la venta de productos de vapeo está prohibida a menores de edad. Por otro lado, al acceder, no aparece información ni aceptación de cookies, como tampoco política de Protección de Datos. A la hora de hacer el registro como usuario para la compra online, tampoco se informa de la LOPD en ninguno de los pasos a seguir para el registro, ni aceptación de las mismas. Es en el último paso para el trámite de la compra, justo antes de hacer el pago, donde se pide la aceptación de los términos y condiciones para la compra. Es éste el único lugar en toda la página web donde aparecen los datos de la persona responsable”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 23/06/20, se dirige requerimiento informativo a la persona reclamada. TERCERO: Con fecha 16/07/20, se recibe en esta Agencia escrito de contestación al requerimiento, en el cual se indica, entre otras, que: “La reclamación recibida acerca del cumplimiento de una página que ya no existe y que estaba recién creada en cuanto al cumplimiento del RGPD www.vaporlibre.com, hoy día trasladada a www.vaporlibre.es , donde pueden comprobar que todo cumple con la normativa de política de privacidad de cookies y la política de privacidad de los usuarios” CUARTO: Con fecha 03/11/20, por parte de esta Agencia, se consulta la página web denunciada, www.vaporlibre.es, comprobándose los siguientes aspectos sobre su política de privacidad y sobre la política de cookies utilizada: - Sobre la recogida de datos personales: La web posibilita la recogida de datos personales de los usuarios que la utilizan al realizar sus pedidos online, como el nombre, los apellidos, el correo electrónico o el domiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 cilio, pero antes de enviar el formulario del pedido, el usuario debe aceptar la <<política de privacidad>> y si lo desea, puede también suscribirse al boletín de noticias de la empresa, marcando la casilla correspondiente. - Sobre la Política de Privacidad: Si se accede a la política de privacidad, a través del enlace existente para ello, la web redirige a una nueva página donde se proporciona información sobre, quién es el responsable del tratamiento de los datos recogidos; la base jurídica del tratamiento; qué datos tratan; por cuánto tiempo se conservan los datos; los derechos que asisten a los clientes sobre el tratamiento de sus datos y la política de protección de los menores. Sobre los fines a los que dedican el tratamiento de los datos, se informa de que serán dedicados para: Gestión de clientes, contable, fiscal y administrativa. Incluye: gestión económica y contable, gestión fiscal, gestión administrativa, gestión de facturación, gestión de clientes, gestión de proveedores, gestión de cobros y pagos, consultorías, auditorías, asesorías y servicios relacionados e históricos de relaciones comerciales. Publicidad y prospección comercial. Incluye publicidad, venta a distancia, encuestas de opinión, prospección comercial, publicidad de terceros, segmentación de mercados, sistemas de ayuda a la toma de decisiones. Para mejorar y optimizar nuestro departamento comercial y de atención al cliente, llevamos a cabo un mantenimiento progresivo de nuestros clientes, utilizamos software para la automatización de nuestros procesos de marketing, tales como la segmentación de prospectos, también la integración, o procesos de completado, de los datos de clientes y la gestión de las campañas. - Sobre la Política de Cookies: Al acceder a la página principal de la web, www.vaporlibre.es (primera capa), existe un banner en la parte inferior de la misma, con el siguiente mensaje: “Nuestra tienda usa cookies para mejorar la experiencia de usuario y le recomendamos aceptar su uso para aprovechar plenamente la navegación” <<Más info>> <<Aceptar>> Si se accede a la “Política de Cookies”, a través del enlace, <<Más info>>, la web redirige a una página donde se proporciona información sobre, qué son las cookies y qué tipos de cookies utiliza la página, pero no proporciona información sobre la identificación de las cookies propia o de terceros que utiliza ni del tiempo que permanecerán activas. Sobre cómo gestionar las cookies, la página remite a la configuración del navegador instalado en el equipo terminal, pero no existe ningún mecanismo que posibilite rechazar todas las cookies. QUINTO: Con fecha 19/11/20, la Directora de la Agencia Española de Protección de Datos acordó abrir procedimiento sancionador por incumplimiento a lo estipulado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 artículo 7 del RGPD con una sanción de “apercibimiento”, respecto de la obtención del consentimiento de los usuarios para el tratamiento de sus datos personales, así como, por infracción del artículo 22.2) de la LSSI, con una sanción de 2.000 euros (dos mil euros), respecto de la “Política de Cookies” de la página web de su titularidad. SEXTO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 03/12/20, ésta formuló, en síntesis, las siguientes alegaciones: “Según dispone el artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), ”iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda", beneficiándose este de las reducciones a que hace referencia el meritado artículo y que, también reconoce la notificación recibida. En este sentido, esta parte no puede más que alegar que intentó poner toda la diligencia debida en el cumplimiento de las obligaciones que le incumbían, si bien, tras la comprobación de esa Agencia, lo cierto es que se produjeron las incidencias detectadas, por lo que, a fin de aprovechar la reducción que por reconocimiento de responsabilidades se aplicaría a este caso, interesa que se tenga por reconocida el involuntario incumplimiento de la norma. Como se puede comprobar, a raíz de la denuncia formulada por un tercero, que en modo alguno puede considerarse ”perjudicado", al tratarse de un competidor en el mercado del producto ofertado por esta parte, apenas si por cuestión de ”la recogida del consentimiento” (que merece tan solo el ”apercibimiento"), v por ”la política de SOBRE EL IMPORTE DE LA SANCION PECUNIARIA. Amén de lo alegado en el apartado anterior, interesa a este compareciente apelar a la facultad moderadora de la Agencia, al objeto de cuantificar la sanción pecuniaria que se dice ”pudiera corresponder”. En este sentido, tan solo decir, que este elegante tiene la condición de joven emprendedor que ha pretendido cumplir con todas las exigencias legales para poner en marcha el negocio de comercio electrónico de ”vapers", si bien la impericia le hizo tener que contar con profesionales que le asesorasen en materia de protección de datos, confiando en que dicho consejo hubiera dado el resultado esperado (cosa que se comprueba infructuoso). Siendo una empresa de nueva creación, y con una rodadura corta en el tiempo además de haber nacido en la peor de las situaciones de mercado que estamos atravesando con la pandemia que sufrimos, ha hecho que los resultados económicos no lleguen a unas ventas de MIL EUROS (1.000,00.€) en lo que llevamos de año 2020. Con este volumen de negocio, no se puede atender la sanción propuesta, ni siquiera con la reducción por el reconocimiento de responsabilidad a que se contrae la anterior alegación, por lo que al no proceder al ingreso de la multa antes del dictado de la resolución, tampoco se podría beneficiar de la reducción por pronto pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 No obstante, insistiendo en la facultad moderadora de esa Agencia, una multa pecuniaria reducida a la mitad de la que se propone, sí que podría ser atendida por esta parte, entendiendo que con ello se sancionaría proporcionalmente la actuación que ha dado lugar al presente expediente sancionador. Abundando en ello, baste decir que ”NO HA EXISTIDO INTENCIONALIDAD” alguna, sino más bien impericia. Del mismo modo, ”TAMPOCO SE HA EXTENDIDO EN EL TIEMPO” la situación anómala, pudiendo comprobar esa Agencia, cómo se han resuelto de inmediato las incidencias detectadas, no constando a día de hoy,(…)”. SÉPTIMO: Con fechas 15/01/21 y 16/02/21, por parte de esta Agencia, se consultan las páginas web, www.vaporlibre.com y www.vaporlibre.es, comprobándose que ya no se encuentran activas, y en su lugar, se puede leer el siguiente mensaje: “Servicio temporalmente no disponible. El servidor no puede atender temporalmente su solicitud debido al tiempo de inactividad por mantenimiento o problemas de capacidad. Por favor, inténtelo de nuevo más tarde”. OCTAVO: Con fecha 23/02/21, se notifica la Propuesta de Resolución a la persona reclamada en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se le apercibiera, por infracción de artículo 7 del RGPD y se archivara, el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web, al no encontrarse activas. Notificada la propuesta de resolución, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. NOVENO: Con fecha 21/03/21, por parte de esta Agencia, se consultan las páginas web denunciadas, www.vaporlibre.com y www.vaporlibre.es, comprobándose que siguen inactivas, y en su lugar, se proporciona el siguiente mensaje: “Servicio temporalmente no disponible. El servidor no puede atender temporalmente su solicitud debido al tiempo de inactividad por mantenimiento o problemas de capacidad. Por favor, inténtelo de nuevo más tarde”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- En el presente caso, se reclama que las páginas web, www.vaporlibre.com y www.vaporlibre.es , no verifican la mayoría de edad en el acceso, ni aparece la información requerida en la política de privacidad ni en la política de cookies. 2.- Por parte de esta Agencia se comprobó que, las páginas web en cuestión, podían obtener datos personales de los clientes, a través del formulario existente para hacer la compra online. Antes de enviar el formulario, el usuario debía aceptar obligatoriamente la política de privacidad. 3.- En la página de la “Política de Privacidad”, https://vaporlibre.es/content/politica-deprivacidad.html , se informaba sobre quién es el responsable del tratamiento de los daC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 tos recogidos; la base jurídica del tratamiento; qué datos tratan; por cuánto tiempo se conservan los datos; los derechos que asisten a los clientes sobre el tratamiento de sus datos; los datos de contacto para ejercer los derechos y la política de protección de los menores. Sobre los fines a los que dedican el tratamiento de los datos; sobre la publicidad y prospección comercial. 4.- Sobre los fines a que se destinaban los datos obtenidos de los clientes, las páginas web informaban que, los datos personales de los clientes serán utilizados para: Gestión de clientes, contable, fiscal y administrativa. Incluye: gestión económica y contable, gestión fiscal, gestión administrativa, gestión de facturación, gestión de clientes, gestión de proveedores, gestión de cobros y pagos, consultorías, auditorías, asesorías y servicios relacionados e históricos de relaciones comerciales. Publicidad y prospección comercial. Incluye publicidad, venta a distancia, encuestas de opinión, prospección comercial, publicidad de terceros, segmentación de mercados, sistemas de ayuda a la toma de decisiones. Para mejorar y optimizar nuestro departamento comercial y de atención al cliente, llevamos a cabo un mantenimiento progresivo de nuestros clientes, utilizamos software para la automatización de nuestros procesos de marketing, tales como la segmentación de prospectos, también la integración, o procesos de completado, de los datos de clientes y la gestión de las campañas”. 5.- Sobre la política de cookies de las páginas web denunciadas, se comprobó que, al acceder a la página principal de la web, existía un banner en la parte inferior de la misma, con el siguiente mensaje: “Nuestra tienda usa cookies para mejorar la experiencia de usuario y le recomendamos aceptar su uso para aprovechar plenamente la navegación” <<Más info>>--<<Aceptar>>. Si se accedía a la “política de cookies”, a través del enlace existente en el banner, <<más info>>, la web redirigía a una página donde se proporcionaba información sobre, qué son las cookies y qué tipos de cookies utilizaba la web, pero no identificaba las cookies que utilizaba, ni el tiempo que permanecerían activas y sobre cómo gestionar la utilización de cookies, la página remitía a la configuración del navegador instalado en el equipo terminal, sin existir ningún mecanismo que posibilitase el rechazo de las cookies. 6.- Incoado el expediente sancionador, por infracción del artículo 22.2 de la LSSI, en relación con la política de cookies de las páginas web, la persona titular de las mismas, envío, a esta Agencia, escrito de alegaciones, en el cual, entre otras, indicaba que: “(…)se han resuelto de inmediato las incidencias detectadas ,(…)”. 7.- Consultada las páginas web denunciadas, por parte de esta Agencia, los días 15/01/21, 16/02/21 y 21/03/21, se ha podido comprobar, que las mismas ya no existen activas y en su lugar, la IP proporciona el siguiente mensaje: “Servicio no disponible temporalmente: el servidor no puede atender temporalmente su solicitud debido al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 tiempo de inactividad por mantenimiento o problemas de capacidad. Por favor, inténtelo de nuevo más tarde”. FUNDAMENTOS DE DERECHO I Competencia: Es competente para resolver este procedimiento, respecto de la política de privacidad, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Es competente para resolver este procedimiento, respecto de la política de cookies, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II Sobre el consentimiento prestado por los usuarios de las páginas web www.vaporlibre.es y www.vaporlibre.com: Las páginas web en cuestión, podían obtener datos personales de los clientes, a través del formulario existente para hacer la compra online. Antes de enviar el formulario, el usuario debía aceptar obligatoriamente su “Política de Privacidad”. De la información que la web proporcionaba en la “Política de Privacidad”, se pudo comprobar que, entre los fines a que se destinan los datos obtenidos de los clientes, se encontraba, entre otros, por ejemplo: “el envío de publicidad de terceros (…)”, que podría ser constitutivo de una infracción, por vulneración del artículo 7 del RGPD, al posibilitar el tratamiento de datos personales para esta clase de fines sin haber obtenido el consentimiento expreso de los interesados. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción de “apercibimiento”, por la infracción del artículo 7 del RGPD, cometida durante el tiempo que las páginas web de su titularidad, www.vaporlibre.com y www.vaporlibre.es, estuvieron activas. III Respecto de la “Política de Cookies” de las páginas web reclamadas, en el presente caso, el 03/11/20, cuando se realizó la comprobación de la política de cookies, tras la reclamación presentada, se pudo comprobar que: a).- Al acceder a su página principal, existía un banner en la parte inferior con el mensaje: “Nuestra tienda usa cookies para mejorar la experiencia de usuario y le recomendamos aceptar su uso para aprovechar plenamente la navegación” <<Más info>>-<<Aceptar>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 b).- Si se accedía a la “política de cookies” (segunda capa), a través del enlace existente en el banner, (<<más info>>), la web redirigía a una nueva página donde se proporcionaba información sobre, qué son las cookies y qué tipos de cookies utilizaba la web, pero no identificabas las cookies propias ni las de terceros, ni el tiempo que permanecen activas. Además, sobre cómo bloquear, revocar o eliminar las cookies instaladas, la página remitía a la configuración del navegador instalado en el equipo terminal, pero no existía ningún mecanismo que posibilitase rechazar todas las Notificada a la persona reclamada, con fecha 03/12/20, la incoación de un expediente sancionador por vulnerar lo estipulado en la legislación vigente en relación con la política de cookies, ésta alegó en síntesis que, a raíz de la denuncia formulada por un tercero, se resolvieron de inmediato las incidencias detectadas en la web. Esta Agencia, en las comprobaciones realizadas en las páginas web (www.vaporlibre.com - www.vaporlibre.es), los días 15/01/21, 16/02/21 y 21/03/21, ha constatado que ya no se encuentran activas. En su lugar, la IP proporciona el siguiente mensaje: “Servicio no disponible temporalmente: el servidor no puede atender temporalmente su solicitud debido al tiempo de inactividad por mantenimiento o problemas de capacidad. Por favor, inténtelo de nuevo más tarde”. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE APERCIBIR: a D. A.A.A. con NIF.: ***NIF.1, titular de la página web, www.vaporlibre.com y www.vaporlibre.es por infracción de artículo 7, del RGPD, en lo que respecta a la obtención del consentimiento de los usuarios para el envío de publicidad de terceros, durante el tiempo que estuvieron activas las web. ARCHIVAR: a D. A.A.A. con NIF.: ***NIF.1, titular de la página web, www.vaporlibre.com y www.vaporlibre.es , el presente procedimiento por la presunta infracción del artículo 22.2 de la LSSI, en lo que respecta a la política de cookies de la página web, al comprobar que las páginas web en cuestión ya no se encuentran activas. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es