PS-00372-2016

1/17 Procedimiento Nº PS/00372/2016 RESOLUCIÓN: R/00267/2017 En el procedimiento sancionador PS/00372/2016, instruido por la Agencia Española de Protección de Datos a la entidad ABELHAS.PT LIMITED, vista las denuncias presentadas y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de febrero de 2016, tuvo entrada en esta Agencia un escrito de varias asociaciones de derechos de autor: Asociación de Artistas Intérpretes o Ejecutantes Sociedad de Gestión de España, Asociación de Gestión de Derechos Intelectuales, Centro Español de Derechos Reprográficos, Entidad de Gestión de Derechos de los Productos Audiovisuales (EGEDA), Federación de Distribuidores Cinematográficos, Sociedad General de Autores y Editores, (los denunciantes en adelante) en el que ponen de manifiesto vulneraciones a la LOPD y a la LSSI que se producen en la página web lolabits.es, en concreto la inexistencia de información prevista en el art. 5 LOPD, la imposibilidad de ejercer los derechos ARCO, la ausencia de inscripción de fichero en el RGPD, el envío de publicidad sin posibilidad de oposición y la descarga e instalación de cookies sin información. Los denunciantes identifican como responsable del sitio a: Abelhas.pt Limited, suite 4ª, 4 Georgios Seferis Street, Ayioi Omologytes, Nicosia, Chipre. Y anexan documentación relevante para los hechos denunciados: Dominio lolabits.es registrado en Red.es Términos y condiciones de uso de lolabits.es Mensajes remitidos a los usuarios de cierre del servicio Política de privacidad del sitio denunciado Información sobre la responsabilidad de la gestión del sitio web. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron diligencias teniendo conocimiento de los siguientes extremos: Las diligencias de investigación se han realizado frente a las siguientes entidades y personas fisicas: Abelhas.pt Limited (C/..1) (Chipre) CIF CY******C A.A.A. (C/..2) Valencia CIF ******P Teniendo como resultado el que se expone a continuación: 1. Con fecha 23 de marzo de 2014, se constata que el sitio web denunciado declara en la página de condiciones del servicio que el responsable del mismo es la entidad Abelhas.pt Limited, con sede en Nicosia (Chipre), Suite 4A, 4 Georgios Seferis Street, Ayioi Omologytes, como consta en la Diligencia1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 En las consultas a los servicios Red.es y Whois, consta que el titular del dominio lolabits.es la entidad Abelhas.pt Limited con sede en Nicosia (Chipre) (C/..1). En la factura proporcionada por A.A.A. como contestación a una solicitud de información consta como domicilio y CIF de Abelhast.pt Nicosia (Chipre) (C/..1) 2402 y CIF CY******C. En consulta a la “Office of the Commisioner for Personal Data Protection” de la República de Chipre, consta la empresa Abelhas.pt Limited con número de registro HE305221 con fecha de registro 25 de abril de 2012, dirección (C/..1) Chipre, directores Christos Damianou y Apostolia Karafoka y secretario Avapos Secretarial Limited. En la misma consulta no se contesta si dicha empresa tiene representante en España. 2. El blog del sitio web denunciado es gestionado por una persona que manifiesta en Internet llamarse A.A.A., en el mismo blog se incluye un enlace a una página personal del mismo nombre y en varias páginas de Internet una persona con el mismo nombre manifiesta trabajar en dicha página web. En respuesta a una solicitud de información, dicha persona manifiesta que su relación con la empresa Abelhas.pt Limited era de tipo mercantil, como autónoma, realizando tareas de márketing y comunicación digital. Declara no disponer de un contrato pero realizar facturaciones, adjuntando la última factura de fecha 17 de abril de 2016 en concepto de “Planificación, desarrollo y ejecución del plan de marketing para el proyecto web Lolabits.es”. 3. Con fecha 31 de marzo de 2016 se constata que no existe en el Registro Mercantil empresa con alguna de las siguientes denominaciones: a. Lolabits b. Lolabits.es c. Abelhas d. Abelhas.pt 4. Con fecha 23 de marzo de 2016, se constata que el sitio web denunciado recoge datos de carácter personal. En la misma diligencia se constata que existe política de privacidad, y enlace a la política de privacidad en la página principal y en la página donde se recogen los datos de carácter personal. El contenido es el siguiente: La Política de Privacidad del portal define la manera en que el Administrador se encarga de la información privada, incluidos los datos personales, cuando el Usuario utiliza los servicios del portal. También se relaciona con otra información proporcionada durante el uso del portal. A continuación se presentan los procedimientos de protección de la privacidad aplicados por el Administrador. Este documento es una parte integral de los Términos del Servicio y acuerdo para la prestación de los servicios electrónicos a los que el Usuario accede con el proveedor de servicios, mediante el registro en el Portal de LOLABITS.es Datos Personales C/ Jorge Juan, 6 28001 – Madrid o El Proveedor de Servicios es el Administrador de los datos personales facilitados por el Usuario en el formulario de inscripción. o Al proporcionar datos personales en la página web del www.agpd.es sedeagpd.gob.es 3/17 Servicio, el Usuario declara que:  C/ Jorge Juan, 6 28001 – Madrid  son verdaderos;  permite al dueño del servicio procesar estos datos para fines de administración de cuentas y prestación de servicios en el portal; o Cada Usuario tiene el derecho de revisar, editar y borrar sus datos personales. Este derecho debe ser ejercido directamente a través de la página web del Servicio o enviando una solicitud por escrito a ayuda@lolabits.es. o Salvo por casos justificados, permitidos por la ley, por las Condiciones del servicio y la Política de Privacidad, el proveedor del servicio no pondrá los datos privados del Usuario a disposición de terceras personas. o El proveedor se reserva el derecho a confiar a otras entidades el procesamiento de datos personales, incluidas las entidades situadas fuera del Espacio Económico Europeo, incluidos los SoftLayer Technologies, Inc., con sede en el (C/..3), EE.UU. Al mismo tiempo, el proveedor de servicios se asegurará de que todos los esfuerzos se harán para garantizar la seguridad de los datos personales, por lo menos al mismo nivel que se requiere legalmente en el territorio de la Unión Europea. o Si el dueño de los servicios elimina los datos facilitados en el formulario de inscripción a petición del Usuario, hará más adelante la prestación de servicios en el Sitio imposible y significará la eliminación de cuentas de los Usuarios. o Los usuarios tienen prohibido publicar todos los archivos y otros contenidos en el Portal que incluyan todos los datos personales del Usuario o de otras personas. El proveedor de servicios no debe ser considerado responsable por cualquier acción del Usuario por recoger los datos personales en violación de la ley y su posterior procesamiento, incluyendo revelado de éstos a personas no autorizadas de una manera contraria a las normas relativas a la protección de datos personales. o El Proveedor de Servicios no se hace responsable de los datos disponibles a personas no autorizadas, si no se ha producido debido a un fallo del proveedor de servicios o si estaba de acuerdo con estas Normas y Reglamentos o sobre la base de la ley. Información Personal o Navegación por el Portal. Se puede navegar en el portal de contenidos sin necesidad de crear una cuenta de Usuario. También se puede poner en contacto con el Administrador enviando un correo electrónico sin necesidad de registrarse. o Cuenta del portal. Para algunas de las acciones en el Portal, como el enviar/subir archivos alojados a carpetas o agregar comentarios o mensajes se necesita registrar una cuenta de Usuario y solo son posibles para los usuarios que han entrado. Durante el registro algunos datos personales www.agpd.es sedeagpd.gob.es 4/17 tendrán que ser proporcionados, incluyendo dirección de correo electrónico y contraseña. Estos se utilizan con el fin de proteger la cuenta del Usuario de Acceso no autorizado. o  Información sobre el uso del portal. Cuando utilizas el portal el Administrador puede retener información sobre (lo siguiente):  datos con respecto a otros Usuarios con quien un determinado Usuario se comunica,  los datos con respecto al contenido en el Servicio donde ha navegado el Usuario  datos sobre los elementos del portal donde se ha hecho clic por el Usuario. o Con el fin de asegurar una adecuada calidad del servicio, el Administrador puede añadir una etiqueta (también conocida como "balizas web"), correo electrónico del cliente de servicios del departamento en mensajes HTML, u otros mensajes para confirmar su entrega. o Contenido enviado al Portal. Toda la información Personal, Mensajes y Comentarios publicados online por parte del Usuario, incluyendo el contenido de la cuenta dada, puede ser conservado y utilizado por otros de los Usuarios. Datos de aplicaciones y cookies o Si los datos personales se envían al portal, pueden ser usados para fines de mantenimiento del portal, edición y mejora y con el fin de procesar todos los datos enviados como unidades de contenido accesible. o El Administrador no utilizará la información personal de los usuarios para enviar mensajes comerciales o publicitarios sin su consentimiento. o El Administrador utiliza cookies, balizas web y datos de registro con el fin de (pero no limitados a):  retener la información, de modo que no tenga que volver a introducirla en las subsiguientes visitas del Usuario al Portal,  ofrecer a los Usuarios un contenido no estándar y personalizado y la información;  monitorear la efectividad comercialización;  monitorear la evolución de los parámetros, como el número total de visitantes y páginas vistas; de la campaña de seguir el contenido de las unidades de contenido del Usuario (materiales) y su estado en las posibles ofertas de loterías y concursos. Usuarios;

1. b)se pueden utilizar para rastrear la actividad de cualquier Usuario, incluyendo - en particular - para recopilar información mencionada en el punto anterior y para recoger los siguientes datos (actuales y potenciales):
2. i)Información sobre los sitios que visita el Usuario dentro del sitio web,
3. ii)Información sobre los Usuarios a los que un  C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 determinado Usuario contacta, sobre las cuentas en el sitio web que visita el Usuario, etc., iii) Información sobre las interacciones del Usuario con otros Usuarios y partes específicas o elementos del sitio web,
4. iv)Información sobre todos los elementos donde el Usuario hace clic en el sitio web,
5. v)Información sobre las páginas web externas desde la que el Usuario entra en la página web,
6. vi)Información sobre las páginas web externas a las que el Usuario es redirigido, vii) información sobre la dirección IP desde la que el Usuario visita la página web o inicia sesión, etc;
7. c)se pueden utilizar para ajustar el contenido a las preferencias y hábitos del usuario (análisis de comportamiento), y en particular, esto se refiere a la publicidad, el marketing de comportamiento y promoción de la página web;
8. d)el Usuario tiene el derecho de oposición - en ese caso, el Usuario debe cambiar la configuración de su equipo (en particular, su navegador, al deshabilitar o limitar el uso de cookies) o ponerse en contacto con el Administrador; el Usuario puede también hacer una declaración apropiada;
9. e)la objeción no se refiere a las cookies técnicas (las que se utilizan principalmente para fines de marketing, no estrictamente para seguimiento), que son necesarias para el correcto funcionamiento de la página web y sus servicios. [Perfiles] La información mencionada en los puntos 3 y 4 se puede utilizar para definir perfiles - por el Administrador y por sus Socios de Marketing – con respecto al derecho del Usuario a la objeción que se menciona en el punto 4 (d), y bajo reserva según lo mencionado en el punto 4 (e). Información públicamente disponible o Después de haber sido creada la Cuenta de Usuario en el Portal, algo de información sobre el Usuario y su actividad se pondrán a disposición de otros usuarios del portal. Esto puede incluir: fecha de creación de cuentas, la fecha del último inicio de sesión, edad, sexo, nombre / nombre de Usuario y el número y tipo de los archivos cargados en las carpetas de archivos alojados. o Otros usuarios pueden ver el nombre de perfil del Usuario mientras están activos en el Portal. Los usuarios pueden interactuar unos con otros mediante el envío de un mensaje privado o añadir un mensaje / comentario en una cuenta determinada. o No obstante lo anterior, la cuenta del Usuario se puede encontrar introduciendo el correo electrónico de registro en el navegador interno del Portal. o Todos los materiales que forman parte de unidades de contenido que han sido hechos públicos por el Usuario pueden ser enviados a través de Internet y otros canales, que puedan ser vistos por otros usuarios y pueden hacerse públicamente disponibles de una manera elegida por el Administrador. o Información personal como el apellido, sexo, foto de perfil (Avatar) u otros datos se podrán añadir y hacerse visibles a otros usuarios. La adición de ciertas funciones a la página de cuentas de Usuario implicará mostrar información sobre estas funciones y actividades relacionadas con ellos a otros usuarios y puede ser recogido y puesto a disposición de otros usuarios. Esto puede aplicarse a los materiales que están marcados como favoritos, calificados o enviados por los usuarios como unidades de contenido del portal. Elección de configuración de privacidad por el Usuario y cookies C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 o Un Usuario registrado que posee una cuenta puede actualizar o corregir la información del perfil y la configuración de privacidad en cualquier momento, en la medida permitida por las funciones de la cuenta. o Al editar su cuenta, el Usuario registrado puede determinar qué información está disponible para otros Usuarios en un momento dado. o El Usuario podrá negarse a revelar alguna información personal al Portal. En este caso, aún puede tener acceso a algunos materiales publicados por los Usuarios y navegar por el portal, pero puede ser imposible entregarle algunos de los servicios. El Usuario puede desactivar las cookies en la configuración de su navegador. El procedimiento para los navegadores particulares o equipos terminales o sistemas se puede encontrar en la sección de ayuda de todos los navegadores. Desactivar las web y causar muchos inconvenientes para el Usuario. Publicidad en el Portal C/ Jorge Juan, 6 28001 – Madrid o La publicación de anuncios precisos y útiles es uno de los objetivos comerciales que persigue el Administrador del portal y las cookies de terceros y sistemas de publicidad del partido, entre otros, se utilizan para lograr este objetivo. Diferente información se puede utilizar para mostrar anuncios adecuados, incluyendo cookies, balizas web, direcciones IP, el uso de estadísticas y otra información no personal acerca del ordenador o el dispositivo (por ejemplo, tipo de navegador y sistema operativo). Cuando el Usuario se registra, los anuncios también puede ser mostrados sobre la base de la información suministrada en la cuenta. o El Administrador hace uso de cookies, entre otros métodos, en el Portal para facilitar la muestra y la gestión de anuncios en este y los sitios web asociados a los anunciantes y editores. Los anuncios se pueden mostrar en la base de intereses y la actividad en línea que no permite la identificación del Usuario. Esto incluye vistas de datos de contenido. Los anuncios también pueden ser mostrados en la base de la actividad anterior en el sitio web del anunciante. Dicha información, que no permite la identificación del Usuario, se almacena por separado de la información de la cuenta de Usuario y otra información en poder del Administrador que permita su identificación. o Otras empresas de publicidad pueden mostrar anuncios en el Portal siempre y cuando cumplan con los requisitos del Administrador con respecto a la visualización de publicidad. El Administrador no tiene ninguna información personal a disposición de otros servidores o redes sin el consentimiento del Usuario. Para obtener más información sobre las prácticas de los servidores y redes extranjeros e instrucciones sobre cómo retirar su consentimiento al tratamiento de los datos en poder de ellos, por favor, lee las políticas de privacidad aplicadas por los Administradores de estos servidores. La Política de Privacidad del Portal no se www.agpd.es sedeagpd.gob.es 7/17 aplica en estos casos. El Administrador no es capaz de controlar las acciones de los otros anunciantes que puedan ser tomadas a través de sus sitios web. Todos los datos adquiridos de los servidores de publicidad de otras empresas y puestos a disposición en el portal se procesan de acuerdo con esta Política de Privacidad. Google Analytics o LOLABITS.es hace uso de Google Analytics para evaluar la eficacia de sus propias acciones y campañas de marketing. Esta eficacia se mide con la ayuda de cookies, que se descargan en el ordenador del Usuario una vez que en un anuncio se ha hecho clic. No contienen datos de carácter personal o de contacto. Se pueden encontrar más detalles sobre el uso de la información recogida por las cookies de Google en: http://www.google.com/intl/es/privacy.html o Es posible evitar que esta información se recoja mediante el bloqueo (desactivar) de las cookies en la configuración del ordenador del Usuario. Sin embargo, hay que tener en cuenta que la desactivación de las cookies puede influir en el funcionamiento y la calidad de algunos sitios web. Algunos sitios web pueden dejar de funcionar por lo que no se aconseja desactivar las cookies. Las cookies pueden ser desactivadas al cambiar la configuración del navegador para que no se acepten o se informe al Usuario si se envían. Información adicional o El Administrador cumple con las normas sobre el almacenamiento seguro de datos personales. Preguntas y respuestas sobre el tema del producto o la cuenta se pueden encontrar en las páginas de Ayuda. Para obtener más información sobre nuestros procedimientos de protección de la privacidad, por favor envía un correo electrónico al Administrador. 5. Con fecha 30 de marzo de 2016 se constata que no existen ficheros inscritos en el Registro de Ficheros de la Agencia Española de Protección de Datos a nombre de:
10. a)Lolabits
11. b)Lolabits.es
12. c)Abelhas
13. d)Abelhas.pt
14. e)A.A.A. 6. Con fecha 29 de marzo de 2016 se constata, que el sitio web denunciado manifiesta que ofrecerá publicidad a sus usuarios. En los términos que aceptan los usuarios al crear una cuenta se establece entre otros: El operador del servicio es la empresa Abelhas.pt Limited, con sede en Nicosia, Suite 4A, 4 Georgios Seferis Street, Ayioi Omologytes, denominado en adelante como el "Administrador" o "Proveedor de Servicios" Socio de Marketing - Entidad colaboradora con el Administrador, cuyos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 contenidos publicitarios pueden colocarse en el Portal o en mensajes enviados a los Usuarios Acepta el procesamiento actual y en un futuro por parte del Administrador de todos los datos personales facilitados durante el registro, a terceros en el territorio de la Unión Europea para su uso en las comunicaciones de marketing LOLABITS.es hace uso de Google Analytics para evaluar la eficacia de sus propias acciones y campañas de marketing 7. Se constata que el sitio web denunciado utiliza un dominio “.es” correspondiente a España, que el sitio web está realizado en Español, y que el blog de asistencia a los usuarios se redacta en el mismo idioma. 8. Con fecha 23 de marzo de 2016, se constata, que el sitio web denunciado utiliza DARD con las siguientes finalidades: Analítica web de tercera parte Gestión de redes sociales 9. Con fecha 23 de marzo de 2016, se constata que el sitio web denunciado incluye información en una primera capa y en una segunda capa relativa a la utilización de DARD. En la primera capa se constata que no se especifican las finalidades de los DARD utilizados. En la segunda capa se constata que no se hace referencia al almacenamiento local relativo a redes sociales. 10. Con fecha 31 de mayo de 2016 se constata que la página lolabits.es sigue inactiva. 11. No se adjunta en las denuncias ni se tiene constancia en las actuaciones de inspección del envío de mensajes publicitarios ni de que en estos no conste un procedimiento para revocar el consentimiento. 12. En relación al cierre del servicio que ha recogido datos personales y el uso futuro que va a realizar el denunciado con dichos datos no hay constancia de dicho posible tratamiento. TERCERO: Con fecha 25/08/2016, acordó iniciar procedimiento sancionador a ABELHAS.PT LIMITED, con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 22.2, de la LSSI, tipificada como leve en el artículo 38.4
15. g)de la citada Ley. CUARTO: Notificado el citado Acuerdo de inicio, ABELHAS.PT LIMITED, alegaciones en las que señaló que: presentó El sitio web lolabits.es fue cerrado de forma definitiva en mayo de 2016. Desde esa fecha cualquier dato personal de los usuarios no está disponible, ni existen copias de dicha información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 No se recopilaban datos de la operación del sitio, ni personales como nombre, apellidos o dirección. Al crear la cuenta de usuario se requería un login y contraseña creados por el usuario, el correo electrónico proporcionado por el usuario era convertido en un “hash” y solo servía para recuperar la contraseña para accederá la cuenta. El modo de usar el servicio sin cuenta no recababa dato alguno. El sitio web informaba de la utilización de cookies y cada usuario aceptaba la política de privacidad. La empresa no dispone de información personal de los usuarios que en combinación con la dirección IP permita su identificación. No se puede considerar la dirección IP como dato persona. La empresa no ha vendido datos de usuarios ni ha obtenido beneficio financiero por la gestión del servicio. El sitio web solo ofrecía servicios gratuitos. La sociedad no lleva y no llevo en el pasado su actividad económica en España, ni dispone de sucursal, ni procesa dato algún por medios técnicos en España. Por tanto el procedimiento no debe ser llevado ante esa Agencia. Los denunciantes son gestoras de derechos de autor y no de protección de los daos de los individuos. Solicita el sobreseimiento. QUINTO: En fecha de 15/11/2016 se inició un periodo de práctica de pruebas acordándose lo siguiente: I.Se dan por reproducidos a efectos probatorios la denuncia interpuesta por ARTISTAS INTERPRETES O EJECUTANTES, SOCIEDAD DE GESTION DE ESPAÑA y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ABELHAS.PT LIMITED, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01646/2016 y las alegaciones al acuerdo de inicio PS/00372/2016 presentadas por ABELHAS.PT LIMITED, y la documentación que a ellas acompaña. II.Se incorpora como prueba documental, la impresión de pantalla del navegador de internet, Internet Explorer y Google Chrome al acceder al sitio web lolabits.es y s578.lolabits.es SEXTO: En fecha de 20/12/2016 por el Instructor del Procedimiento se emitió Propuesta de Resolución en el sentido de: I.Que por la Directora de la Agencia Española de Protección de Datos se sancione a ABELHAS.PT LIMITED, con multa de 5.000 € (cinco mil euros) por la infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
16. d)de dicha norma. SEPTIMO: De las actuaciones practicadas han resultado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 HECHOS PROBADOS UNO.- En fecha de 23/03/2016 se verificó que la web lolabits.es utiliza DARD con la finalidad de analítica web de tercera parte y para la gestión de redes sociales; y que incluye un sistema de información, en una primera capa donde no se especifican las finalidades de los DARD utilizados y en una segunda capa, que no hace referencia al almacenamiento local relativo a redes sociales. DOS.- lolabits.es declara en la página de condiciones del servicio que el responsable del mismo es la entidad Abelhas.pt Limited, con sede en Nicosia (Chipre), Suite 4A, 4 Georgios Seferis Street, Ayioi Omologytes. En Red.es y Whois, consta que el titular del dominio lolabits.es la entidad Abelhas.pt Limited con sede en Nicosia (Chipre) (C/..1). TRES.- En fecha de 31/05/2016 y 15/11/2016 se verificó que el sitio web no está activo, siendo imposible su acceso. Constan en el expediente comunicaciones de lolabits.es manifestando a sus usuarios que en fecha de 31/03/2016 finalizará su servicio. FUNDAMENTOS DE DERECHO 1. Competencia. Establece el Artículo 3 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI en adelante), respecto del ámbito de aplicación de la norma establece lo siguiente: 1. Sin perjuicio de lo dispuesto en los artículos 7.1 y 8, esta Ley se aplicará a los prestadores de servicios de la sociedad de la información establecidos en otro Estado miembro de la Unión Europea o del Espacio Económico Europeo cuando el destinatario de los servicios radique en España y los servicios afecten a las materias siguientes:
17. a)Derechos de propiedad intelectual o industrial.
18. b)Emisión de publicidad por instituciones de inversión colectiva.
19. c)Actividad de seguro directo realizada en régimen de derecho de establecimiento o en régimen de libre prestación de servicios.
20. d)Obligaciones nacidas de los contratos celebrados por personas físicas que tengan la condición de consumidores.
21. e)Régimen de elección por las partes contratantes de la legislación aplicable a su contrato.
22. f)Licitud de las comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente no solicitadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 2. En todo caso, la constitución, transmisión, modificación y extinción de derechos reales sobre bienes inmuebles sitos en España se sujetará a los requisitos formales de validez y eficacia establecidos en el ordenamiento jurídico español. 3. Los prestadores de servicios a los que se refiere el apartado 1 quedarán igualmente sometidos a las normas del ordenamiento jurídico español que regulen las materias señaladas en dicho apartado. 4. No será aplicable lo dispuesto en los apartados anteriores a los supuestos en que, de conformidad con las normas reguladoras de las materias enumeradas en el apartado 1, no fuera de aplicación la ley del país en que resida o esté establecido el destinatario del servicio. Se constata que el sitio web denunciado utiliza un dominio “.es” correspondiente a España, que el sitio web está realizado en español, y que el blog de asistencia a los usuarios se redacta en el mismo idioma. Por otro lado, establece el artículo 43.1 de la LSSI, que la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
23. d)e
24. i)y 38.4 d),
25. g)y
26. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos. En el presente caso estamos ante la posible comisión de la infracción tipificada en el artículo 38.4
27. g)de la LSSI, siendo competente para su conocimiento la Agencia Española de Protección de Datos. 2. Artículo vulnerado. En el presente procedimiento se imputa a ABELHAS.PT LIMITED,, la comisión de una infracción del artículo 22.2 de la LSSI, que dispone que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” El citado artículo 22.2 de la LSSI extiende su alcance a todos los tipos de dispositivos de almacenamiento y recuperación de datos utilizados por los prestadores de servicios de la sociedad de la información en cualesquiera equipos terminales de los destinatarios de dichos servicios, lo que incluye no sólo las cookies, que son archivos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 o ficheros de uso generalizado que permiten almacenar datos en dichos equipos con diferentes finalidades, sino también cualquier otra tecnología similar utilizada para almacenar información o acceder a información almacenada en el equipo terminal. No hay que olvidar que en muchos casos los usuarios que utilizan los servicios de Internet desconocen que el acceso a los mismos puede conllevar la instalación de ficheros o archivos en sus equipos terminales, y que al ser recuperados con la información almacenada en los mismos permiten no sólo mejorar la navegación y prestar correctamente el servicio solicitado sino que también posibilitan, con las implicaciones para la privacidad de los usuarios que ello supone, la recogida actualizada y continuada de datos relacionados con sus equipos y perfiles de navegación, que posteriormente podrán ser utilizados por los responsables de los sitios web a los que se accede, o por los terceros, para analizar su comportamiento y para el envío de publicidad basada en el mismo o como medio para el desarrollo de otros productos y servicios concretos. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, que con mayor frecuencia recurren a Internet para la realización de sus actividades cotidianas, la regulación comunitaria y nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de sus datos y las finalidades para las que son utilizados. 3. Responsables El Anexo de la LSSI define en su apartado
28. c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
29. a)entiende “ todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. En el presente caso ha de considerarse Prestador de Servicios de la Sociedad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 de la Información a ABLEHAS.PT LIMITED como titular de la página web lolabits.es y por tanto situarle bajo las obligaciones y el régimen sancionador de la LSSI. De acuerdo con la redacción del artículo 22.2 de la LSSI y el sentido legal de los conceptos empleados en el mismo, el prestador de servicios de la sociedad de la información podrá utilizar los referidos dispositivos para almacenar y recuperar datos del equipo terminal de una persona física o jurídica que utilice, sea o no por motivos profesionales, un servicio de la sociedad de la información, ello a condición de que el destinatario haya dado su consentimiento una vez que se le haya facilitado información clara y completa sobre su utilización. No obstante, y aunque pudieran afectar al tratamiento de datos en las comunicaciones electrónicas, el tercer párrafo del reseñado artículo introduce determinadas exenciones al cumplimiento de las exigencias fijadas en dicho precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las consentimiento sobre su uso. La primera exención requiere que la utilización de las cookies tenga como único fin permitir la comunicación entre el equipo del usuario y la red. La segunda exención requiere que la instalación de las cookies sea necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el usuario. 4. Modo de ofrecer la información En el presente supuesto, a través de la valoración conjunta de las actuaciones practicadas y la documentación obrante en el expediente, ha quedado acreditado que al inicio de las actuaciones de inspección, el sitio web denunciado no ofrecía información respecto de la instalación de dispositivos de almacenamiento y recuperación de datos que cumpliera con el mandato del art. 22.2 de la LSSI. El modo de ofrecer la información del citado artículo no obedece a supuestos tasados, cualquier fórmula que satisfaga la finalidad del precepto es perfectamente válida. En este sentido debe recordarse que la “Guía sobre el uso de cookies”, ofrece indicaciones al respecto, proponiendo un sistema de información por capas. En la primera capa debe mostrarse la información esencial sobre la existencia de cookies, si son propias o de terceros y las finalidades de las cookies empleadas, así como los modos de prestar el consentimiento En cuanto a la información ofrecida en la segunda capa, esta Agencia ha venido indicando, singularmente en la Guía sobre el uso de cookies, que dicha información adicional debería versar sobre qué son y para qué se utilizan las cookies, los tipos de cookies utilizadas y su finalidad, así como la forma de desactivar o eliminar la cookies enunciadas a través de las funcionalidades facilitadas por el editor, las herramientas proporcionadas por el navegador o el terminal o a través de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 plataformas comunes que pudieran existir, para esta finalidad o en su caso, la forma de revocación del consentimiento ya prestado. Finalmente, debe en esta segunda capa ofrecerse información sobre la identificación de quien utiliza las cookies, esto es, si la información obtenida por las aquellos con los que haya contratado o cuyos servicios ha decidido integrar el editor. Por tanto, cabe el suministro de la información adicional en una segunda capa por grupos de cookies, siempre que exista identidad entre ellas y ello no produzca ambigüedad, y en todo caso se indique si son de primera o de tercera parte, con identificación del tercero, y su finalidad, así como con alusión a los mecanismos de rechazo de las cookies enunciadas y la forma de revocación del consentimiento ya prestado. La normativa estudiada pretende que el usuario sea suficientemente informado sobre la utilización de dispositivos de almacenamiento y recuperación de datos en su equipo terminal, siendo esencial que dicha información verse sobre las finalidades de dichos dispositivos, pero sin exigir que la información detalle los nombres de todas y cada una de las cookies no exentas descargadas. Ahora bien, nada obsta a que dicha información adicional se ofrezca, a los efectos de dar cumplimiento a los requisitos de la segunda capa, en un cuadro adjunto que señale el dominio bajo el cual figura la cookie, su finalidad concreta, y si es propia o de tercera parte, con identificación, en su caso, del tercero en cuestión. Es decir, aunque dicho sistema no sea exigible la Agencia entiende que la descripción contenida en un cuadro puede dar cumplimiento a los requisitos de la segunda capa relativos a los tipos de cookies utilizadas y su finalidad así como sobre quién utiliza las cookies, en la medida en que contenga la información exigible antes especificada. 5. Hechos probados y conducta típica. Relacionando dichas exigencias con la información ofrecida por ABELHAST.PT LIMITED en las pruebas realizadas sobre DARD en su página web se efectúan las siguientes consideraciones: En fecha de 23/03/2016 se verifico que la web lolabits.es utiliza dispositivos de almacenamiento y recuperación de datos – DARD en adelante- con la finalidad de analítica web de tercera parte y para la gestión de redes sociales; verificándose que el sitio web incluye información en una primera capa y en una segunda capa relativa a la utilización de DARD. En la primera capa se constata que no se especifican las finalidades de los DARD utilizados. En la segunda capa se constata que no se hace referencia al almacenamiento local relativo a redes sociales. Por tanto no puede entenderse que la página web proporcionara información suficiente al usuario para otorgar su consentimiento informado, para permitir el uso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 DARD. La conducta descrita está tipificada como leve en el artículo 38.4.
30. g)de la citada norma, que señala como tal “El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.” Finalmente, en cuanto a la consideración de la Dirección IP como dato de carácter personal y sin perjuicio de que no se sanciona la recogida de datos personales como parece entender ABELHAS.PT LIMITED, debe señalarse que el Tribunal de Justicia de la Unión Europea (Sentencia C-582/2014, en resolución de 19/10/2016) ha declarado que las direcciones IP, incluso las dinámicas son un dato personal, y por lo tanto todas los responsables de las páginas webs tendrán que tratarlas como tal. 6. Determinación de la gravedad y graduación de la cuantía de la sanción a imponer. A tenor de lo establecido en el artículo 39.1.
31. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 euros, fijándose los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
32. a)La existencia de intencionalidad.
33. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
34. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
35. d)La naturaleza y cuantía de los perjuicios causados.
36. e)Los beneficios obtenidos por la infracción.
37. f)Volumen de facturación a que afecte la infracción cometida.
38. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En fecha de 31/05/2016 y 15/11/2016 se verifico que el sitio web no está activo, no obstante lo anterior y respecto del plazo de tiempo durante el que se haya venido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 cometiendo la infracción se ha de tener en cuenta que la denuncia es de fecha 13/02/2016, se verifica la comisión de la infracción en fecha de 23/03/2016 y ya en fecha de 31/05/2016 no puede accederse al sitio web objeto de investigación. Todo ello sin perjuicio de que la página web anuncio su cierre para la fecha de 31/03/2016. En el presente caso de acuerdo con los criterios establecidos en los apartados
39. a), b), y
40. e)procede determinar la imposición de la sanción en la cuantía de 5.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ABELHAS.PT LIMITED, por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
41. g)de la LSSI, una multa de 5.000 euros ( cinco mil euros) de conformidad con lo establecido en el artículo 39 de la citada LSSI. SEGUNDO: NOTIFICAR la presente resolución a ABELHAS.PT LIMITED, y a quienes figuren como interesados en el procedimiento. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley de 1 de octubre de 2015, del Procedimiento Administrativo Común de las Administraciones Públicas, (LPACAP) los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es