← España

PS-00385-2021

1/8  Procedimiento Nº: PS/00385/2021 RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR. Mediante acuerdo de fecha 01/09/21, se inició el procedimiento sancionador, PS/0385/2021, instruido por la Agencia Española de Protección de Datos a la entidad, ***EMPRESA.2 con CIF.: B47698956, titular de la página web: https://edatv.com/ , (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A. (en adelante, “la parte reclamante”), por presunta infracción de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 21/05/21, tuvo entrada en esta Agencia, un escrito de reclamación, en el que, entre otras, se indicaba: “La página web: https://edatv.com/ , en ningún momento tienes acceso a poder leer o disentir ni cookies ni la política de privacidad”. SEGUNDO: Con fecha 23/06/21, por parte de esta Agencia se solicitó información a la entidad ***EMPRESA.2, sobre la reclamación presentada, de conformidad con lo estipulado en el artículo 65.4 de la LO 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 08/07/21, se recibió en esta Agencia escrito de contestación al requerimiento hecho a la parte reclamada, en el cual, se indicaba que: (…), Se adjunta, como DOCUMENTO Nº1. Contrato de encargo de tratamiento de datos, de fecha 23/11/2020. El Proveedor ofrece servicios de software y mantenimiento web a EDATV (a través de un módulo específico denominado “ISQUAD multimedia”) y ésta, a través del sitio web https://edatv.com/ (en adelante, el “Sitio Web”) permite a los Usuarios encontrar una plataforma de contenido en línea sobre noticias de actualidad. En primer lugar, hay que tener en cuenta que la reclamación que se realiza es en relación con el sitio web https://edatv.misquad.es/contacto_edatv.php . Este dominio era un dominio de desarrollo, en fase beta, o fase de pruebas, y al que no todos los usuarios tenían acceso. Además, era un dominio que prestaba servicio en fase de desarrollo a EDATV y que en el momento en el que ha pasado a producción, ha quedado inutilizado y ha sido sustituido por https://edatv.com/contacto_edatv.php , siendo este último el dominio principal titularidad de EDATV. Con el fin de acreditar la reciente creación del Sitio Web, se adjunta a continuación captura de pantalla de “whois” que muestra que dicho Sitio Web fue creado el pasado 18 de marzo de 2021. Es por ello, por lo que, insistimos, el proyecto se encuentra en una fase inicial de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Es importante tener en cuenta, por otro lado, que el Sitio Web https://edatv.com/ siempre ha cumplido con los estándares marcados por la “Guía para el Uso de las En particular en lo relativo a la información facilitada a los usuarios sobre la autorización de cookies y los fines de tratamiento de los datos, así como la forma de recabar, rechazar o retirar el consentimiento para su uso. Se pide además indicación de fechas de implantación y controles efectuados para comprobar su eficacia. Teniendo en cuenta el contenido de la notificación recibida por EDATV y, de cara a evitar recibir notificaciones y/o reclamaciones de este tipo en lo que respecta al Sitio Web se informa que se han realizado las siguientes actuaciones: Retirar el sitio web https://edatv.misquad.es/contacto_edatv.php para integrarlo dentro del sistema de cumplimiento normativo en materia de protección de datos de https://edatv.com/ como una nueva URL https://edatv.com/contacto_edatv.php . Todo el Sitio Web https://edatv.com/ ya venía incluyendo una primera capa de información en lo que respecta a las cookies que existen en el Sitio Web siguiendo lo dispuesto en la guía para el uso de las Cookies de la AEPD que contiene (

  1. i)las finalidades de las cookies, (
  2. ii)la información sobre la existencia de cookies propias y de terceros, (iii) la posibilidad de configurar las cookies por parte del usuario y modular su aceptación o rechazo y (
  3. iv)el acceso a la segunda capa de información sobre las propias cookies. Todo el Sitio Web https://edatv.com/ ya venía incluyendo una segunda capa de información en lo que respecta a las cookies, consistente en una Política de Cookies a la que el usuario tiene acceso desde el mismo aviso de cookies, así como desde el propio footer del Sitio Web y que está disponible de manera permanente. Como se desprende del siguiente enlace https://edatv.com/politica-cookies La decisión adoptada a propósito de esta reclamación 1.-Eliminación inmediata del enlace. Una vez recibida la comunicación de la AEPD se ha procedido de forma inmediata a eliminar el enlace erróneo sobre el cual se basa la reclamación: https://edatv.misquad.es/contacto_edatv.php. 2.- Privacidad desde el diseño reforzada. ***EMPRESA.2. ha modificado su protocolo de “PROTECCIÓN DE DATOS DESDE EL DISEÑO”, prestando especial atención a la existencia de políticas de protección de datos y cookies en los distintos desarrollos que se realizan para terceros responsables del tratamiento, concretamente en las fases tempranas de trabajo e implementación de los sitios web y software. A fin de acreditarlo, adjuntamos, como DOCUMENTO Nº2 el protocolo general y el Patrón de diseño relacionado con cookies y la recogida de consentimiento expreso. 3.-Evaluación de impacto en protección de datos. ***EMPRESA.2. cuenta con una Evaluación de Impacto sobre todos sus tratamientos que está siendo objeto de actualización en estos momentos. Se adjunta, como DOCUMENTO Nº3 la citada Evaluación de Impacto externa, realizada por la entidad DATA TECHNOLOGY CONSULTING SL, en fecha 16/06/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 La entidad cuenta con un delegado de protección de datos notificado e inscrito en el registro de la Autoridad de Control”. CUARTO: Con fecha 20/07/21, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante, al apreciar indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Así, se pudo comprobar como página web, https://edatv.com/ tenía las siguientes características: a).- Sobre el tratamiento de datos personales: A través del formulario existente en el enlace <<quiero registrarme>> es posible introducir datos personales del usuario, como el nombre, el correo electrónico. b).- Sobre la Política de Privacidad: Si se opta por acceder a la “Política de Privacidad” a través del enlace existente en el formulario y en la parte inferior de la página principal, la web redirige a la página, https://edatv.com/politica-privacidad , donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; (…), España. la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos obtenidos; la legitimación del tratamiento e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. c).- Sobre la Política de Cookies: 1. Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que no utiliza cookies no sean técnicas o necesarias. 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “Utilizamos cookies propias y de terceros Podemos colocarlos para el análisis de los datos de nuestros visitantes, para mejorar nuestro sitio web, mostrar contenido personalizado y brindarle una excelente experiencia en el sitio web. Para obtener más información sobre las cookies que utilizamos, abra la configuración”. <<Rechazar todo>> <<Aceptar>> <<Ajustar>> 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, <<ajustar>>, la web despliega el siguiente panel de control, donde se pueden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 gestionar los grupos de cookies de forma granular, estando éstos premarcados en la opción de <<activado>>: <<Ajustes>> <<Cookies>> Nos gustaría su permiso para usar sus datos para los siguientes propósitos: Técnicas.Actuación: Funcional: De publicidad: Aceptar Rechazar  Aceptar. Rechazar  Aceptar Rechazar Aceptar. <<Rechazar>>-- <<Aceptar todas>>--<<Guardar Configuración>> a.- Si se opta por rechazar todas las cookies mediante la opción correspondiente <<Rechazar>> en el panel de control, se comprueba que la web sigue utilizando solamente cookies técnicas o necesarias. b.- Si se opta por aceptar la configuración propuesta: <<Guardar Configuración>> (aceptando de antemano las cookies funcionales y las cookies de actuación), se comprueba como la web empieza a utilizar cookies no necesarias. c.- En la opción <<cookies>> situada en la parte superior del panel de control, la web despliega una nueva página donde identifica todas las cookies utilizadas (identificador; dominio; funcionalidad y periodo de activación) 4.- Si se accede a la “Política de Cookies”, a través del enlace existente en el banner <<política de cookies>> o a través del enlace existente en la parte inferior de la página principal, la web redirige a una nueva página, https://edatv.com/politica-cookies donde se proporciona información sobre, qué son las cookies y qué tipos de cookies existen, pero falta información sobre la identificación de las cookies que utiliza la web, (el identificador, su dominio, su finalidad y el tiempo que permanecerán activas). SEXTO: Con fecha 01/09/21, por parte de la Directora de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web, dirigiéndola un “apercibimiento” y ordenándola que, tomase las medidas necesarias sobre la misma para adecuarla a la normativa vigente en materia de Política de Cookies, deshabilitando, en el panel de control, los grupos de cookies no necesarias, premarcadas en la opción de “aceptadas”. SÉPTIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 14/09/21 indicó, entre otras, lo siguiente: “El presente procedimiento se dirige frente a la entidad ***EMPRESA.2. pero no es correcta la afirmación que hace el Acuerdo de inicio de expediente sancionador, respecto a que dicha mercantil sea Titular de la página web https://edatv.com . Tal y como se indicó en las alegaciones de fecha 8 de julio de 2021, (…). Ello puede advertirse de la lectura de la Política de Cookies accesible desde https://edatv.com/politica-cookies ; y desde la Política de Privacidad del sitio web, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 accesible desde https://edatv.com/politica-privacidad . Se adjuntan, impresiones de pantalla ilustrativas de lo indicado La relación entre las entidades ***EMPRESA.1. y ***EMPRESA.2. tiene como base una prestación de servicios que implica tratamiento de datos. Existe un Contrato de encargo de tratamiento de datos, de fecha 23/11/2020, tal y como exige el artículo 28 RGPD. La prestación de ***EMPRESA.2. a ***EMPRESA.1. consiste en servicios de software y mantenimiento web en el proyecto EDATV (https:// edatv.com) a través de un módulo “ISQUAD multimedia”. ***EMPRESA.1. es en realidad la responsable del tratamiento de datos obtenidos en el sitio web https://edatv.com , mientras que ***EMPRESA.2. es la encargada del tratamiento en el alcance indicado en líneas precedentes. Una vez que se ha conocido la orden de la Autoridad de Control respecto a la adecuación de la página web https://edatv.com a la normativa vigente sobre Política de Cookies, ***EMPRESA.2. ha comunicado este hecho a ***EMPRESA.1., como entidad responsable del tratamiento, habiéndose implementado de modo INMEDIATO las incidencias destacadas en el Acuerdo de Inicio del Procedimiento Sancionador, dentro del elenco de exigencias de cooperación contempladas en el art. 28.3.F RGPD para los encargados del tratamiento En los HECHOS QUE MOTIVAN LA RECLAMACION PREVIA se señala: “Reclamación contra el responsable del sitio web edatv.com, cuyo canal de soporte online, accesible en su sitio web, redirige al sitio externo https://edatv.misquad.es/contacto_edatv.php, donde no se facilita información alguna sobre la utilización de cookies, cuando se utilizan cookies analíticas de Google, con independencia de que en el sitio edatv.com se hubieran rechazado.” Es decir, el requerimiento informativo de la AEPD se refiere al sitio web https://edatv.misquad.es/contacto_edatv.php , pero, sin embargo, el Acuerdo de Inicio del Procedimiento Sancionador se está refiriendo a la política de cookies de un dominio distinto: www.edatv.com . Tal y como indicamos en nuestras alegaciones de 8 de julio de 2021, el dominio, https://edatv.misquad.es/contacto_edatv.php era un dominio de desarrollo, en fase beta, o fase de pruebas, y al que no todos los usuarios tenían acceso. Además, era un dominio que prestaba servicio en fase de desarrollo a EDATV y que en el momento en el pasó a producción, quedó inutilizado siendo sustituido por https:// edatv.com/contacto_edatv.ph p, siendo este último el dominio principal titularidad de EDATV. 5 Es decir, una vez recibida la comunicación de la AEPD se ha procedido de forma inmediata a eliminar el enlace erróneo sobre el cual se basaba la reclamación del afectado https://edatv.misquad.es/contacto_edatv.php . En cuanto a las diligencias previas de investigación o de información previa ya la Sentencia de la Sala de lo Contencioso-administrativo de la Audiencia Nacional de 17/10/2007 (rec. 180/06) vino a decir que “tales diligencias previas constituyen una garantía encaminada a asegurar el correcto ejercicio de la potestad sancionadora, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 evitando en lo posible fallidas acusaciones sin base legal o fáctica, o la precipitada apertura de expedientes sancionadores. Y también que nos encontramos ante una institución materialmente garantizadora del correcto ejercicio de la potestad sancionadora, en beneficio del administrado, en tanto evita que el mismo pueda ser objeto de un expediente sancionador de manera infundada”. Por todo ello, consideramos que no existe responsabilidad alguna de la entidad ***EMPRESA.2. ya que no es ni siquiera responsable del tratamiento de los datos objeto de la reclamación, por lo que la propuesta de resolución en el presente procedimiento debería articularse en este sentido. De cualquier modo, se insiste que, en el momento de la recepción del Acuerdo de inicio de procedimiento sancionador, se ha comunicado al responsable del tratamiento dicha circunstancia, habiéndose solventado y adaptado a la normativa los tratamientos de datos advertidos por la AEPD. La Autoridad de Control debe tener en cuenta que ***EMPRESA.2: - Cuenta con una Evaluación de Impacto sobre todos sus tratamientos, aportada en la fase de información previa. - Cuenta con un delegado de protección de datos notificado e inscrito en el registro de la Autoridad de Control. - Ha modificado su protocolo de “PROTECCIÓN DE DATOS DESDE EL DISEÑO”, prestando especial atención a la existencia de políticas de protección de datos y cookies en los distintos desarrollos que se realizan para terceros responsables del tratamiento, concretamente en las fases tempranas de trabajo e implementación de los sitios web y software. Igualmente, aportado en la fase de información previa. - Cuenta con un registro de actividades de tratamiento. - Está desarrollando en estos momentos una auditoria de seguridad externa, para verificar posibles vulnerabilidades de sus sistemas. Del mismo modo, ***EMPRESA.1. en su calidad de responsable del tratamiento confirma la existencia del correspondiente (
  4. i)análisis de riesgos, (
  5. ii)registro de actividades del tratamiento y (iii) protección de datos sobre el diseño. 6 Por todo ello, SOLICITAMOS que tenga por hechas las manifestaciones que aquí se contienen, y atendiendo a lo manifestado en la propuesta de resolución se determine la no existencia de responsabilidad por parte de la entidad ***EMPRESA.2 HECHOS PROBADOS 1º.- Según el reclamante, en la página web https://edatv.com/ , en ningún momento se tiene acceso a poder disentir de las cookies. 2º.- Consultada la página web, el 18/08/21, se pudo constatar que, a través del formulario existente en el enlace <<quiero registrarme>> es posible introducir datos personales del usuario, como el nombre, el correo electrónico. En dicho formulario existe la opción de aceptar voluntariamente la recepción de ofertas especiales y servicios de la entidad. Además existe un enlace directo a la “Política de Privacidad”, https://edatv.com/politica-privacidad , donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. Sobre la “Política de Cookies”, se comprobó que, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, no se utilizaban cookies que no eran técnicas o necesarias. No obstante, se comprobó que, en el panel de control de cookies, los grupos de cookies no necesarios estaban premarcados en la opción de “aceptadas” y que, si el usuario cliqueaba en: <<Guardar Configuración>> (aceptando de antemano las cookies funcionales y las cookies de actuación), la web empezaba a utilizar cookies no necesarias. 3º.- Se inició el presente procedimiento sancionador, contra la entidad ***EMPRESA.2., respecto de la “Política de Cookies” de la página web, dirigiéndola un apercibimiento por las deficiencias detectadas. 4º.- Notificada la incoación del expediente a la entidad ***EMPRESA.2. ésta, en el escrito de alegaciones a la misma, indicó, entre otras, que: - El titular de la página web https://edatv.com no era ella, sino la mercantil ***EMPRESA.1, Que la prestación de ***EMPRESA.2. a ***EMPRESA.1. consiste solamente en el mantenimiento de la web. Que, no obstante, lo anterior, se había procedido a subsanar los errores detectados en la política de Cookies, indicados por esta Agencia. 5º.- Consultada la “Política de Privacidad”, https://edatv.com/politica-privacidad , se constata que el responsable de la web, ***EMPRESA.1., España. FUNDAMENTOS DE DERECHO I.- Competencia Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II En el presente caso se trataba de determinar, a la vista del conjunto de elementos de juicios disponibles, las responsabilidades que pudieran derivarse por los responsables del dominio web, https://edatv.com, en relación con la “Política de Cookies” gestionada en la web por la entidad ***EMPRESA.2. No obstante, de las actuaciones practicadas por esta Agencia se ha podido comprobar que el dominio mencionado está registrado a nombre de otra entidad ajena a la investigada. Esto es: el titular de la página web, https://edatv.com es mercantil ***EMPRESA.1, y no la entidad ***EMPRESA.2. contra la que se inició el presente procedimiento sancionador, siendo ésta una empresa contratada por la titular para el mantenimiento de la web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 A la vista de todo lo cual, al ser identificado el responsable de la página web investigada, en una entidad diferente a la que inicialmente se abrió el procedimiento sancionador, se debe procederse al archivo de las presentes actuaciones. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la resolución a la entidad, ***EMPRESA.2 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  6. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.