PS-00388-2020

1/19  Procedimiento Nº: PS/00388/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00388/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L., con CIF.:B73447393, titular de las páginas web: ***URL.1 y ***URL.2, (en adelante, “la entidad reclamada”), y en base a los siguientes, ANTECEDENTES PRIMERO: En la reclamación presentada el 21/07/20, se indicaba, entre otras, lo siguiente: “Las páginas webs ***URL.1 y ***URL.2 no disponen de política de privacidad, texto legal ni gestión de cookies. En los formularios de contacto no hay información sobre lo que se va a hacer con los datos del formulario”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. Así, con fecha 16/09/20, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 15/10/20, la entidad reclama envía a esta Agencia, escrito de contestación al requerimiento y cuyo contenido se incluye en el escrito de incoación de expediente y en el escrito de propuesta de resolución. CUARTO: Con fecha 19/11/20, por parte de esta Agencia, se realizan comprobaciones sobre la “Política de Privacidad” y sobre la “Política de Cookies”, de las páginas web indicadas, comprobándose los aspectos que ya se incluyeron en el escrito de incoación de expediente y en el escrito de propuesta de resolución. QUINTO: A la vista de los hechos denunciados y de las evidencias observadas en las páginas web, la Directora de la Agencia Española de Protección de Datos, con fecha 25/11/20, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en la legislación vigente, por las siguientes infracciones: a).- Con respecto a la página web ***URL.1 : .- Infracción del artículo 7) del RGPD, al realizar la recogida del consentimiento de los usuarios, a través de una aceptación genérica para todos los fines del tratamiento, con una sanción inicial de “apercibimiento”. .- Infracción del artículo 22.2) de la LSSI, respecto de la inexistencia de “Política de b).- Con respecto a la página web ***URL.2: .- Infracción del artículo 13) del RGPD, respecto de la inexistencia de política de privacidad en su página web, comprobando que existe un tratamiento de los datos personales de los usuarios, con una sanción inicial de 3.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 .- Infracción del artículo 22.2) de la LSSI, respecto de la inexistencia de “Política de SEXTO: Notificado el acuerdo de inicio del expediente sancionador, la entidad reclamada, mediante escrito de fecha 11/12/20, formuló alegaciones a la incoación de expediente, cuyo contenido ya se indicó el escrito de propuesta de resolución. SÉPTIMO: Con fecha 20/02/21, por parte de esta Agencia, se vuelven a realizar comprobaciones de la “Política de Privacidad” y de la “Política de Cookies” de las páginas web indicadas, y se notifica la propuesta de resolución a la entidad reclamada en la que se proponía que, por la Directora de la Agencia Española de Protección de Datos se sancionase a la entidad reclamada: .- Respecto a la página web ***URL.1, con “apercibimiento”, por la infracción del artículo 7, del RGPD, respecto de la inoperatividad en la recogida del consentimiento para los diferentes fines a los que la entidad desea tratarlos datos personales, y con 3.000 euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies” en la página web. .- Respecto a la página web ***URL.2 , con 3.000 euros (tres mil euros), por la infracción del artículo 13 del RGPD, respecto de la inexistencia de política de privacidad en la web y con 3.000 euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de la “Política de Cookies” en la página web de su titularidad. Además, de conformidad con el art 58.2 del RGPD, se proponía a la Directoria de la Agencia Española de Protección de Datos que ordenase a la entidad para que: .- Tomase las medidas necesarias para activar el mecanismo la recogida del consentimiento de los usuarios de la página web ***URL.

1. .- Tomase las medidas necesarias para incluir en la web, ***URL.2, la “Política de Privacidad” adaptándola a lo estipulado en el artículo 13 del RGPD. .- Tomase las medidas necesarias para adecuar las políticas de cookies de las dos páginas web, a lo estipulado en la normativa vigente. NOVENO: Tras la notificación de la propuesta de resolución, con fecha 30/03/21, la entidad reclamada presentó escrito de alegaciones a la propuesta de resolución, en el cual se indicaba, entre otras, lo siguiente: “En el Documento recibido por Flexomed, en relación al tratamiento de los datos personales de la página web ***URL.1, una vez eliminada esa frase incorrecta que aparecía en la web, se aprovechó para facilitar a los usuarios un opt-in independiente, no marcado por defecto, en el que pudieran proporcionar su consentimiento para recibir comunicaciones comerciales, modificando en consecuencia, las finalidades del tratamiento de los datos e incluyendo que las mismas serían, la finalidad principal de dar respuesta a la solicitud realizada por el usuario y, además, y solo en caso de consentimiento expreso mediante el opt-in dispuesto de forma separada para ello, sus datos se utilizarían también con la finalidad del envío de comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 Sobre el formulario de la newsletter, Es posible que, en el momento en el que se hicieron las comprobaciones oportunas por la Aepd, hubiese algún error informático que no permitiese acceder al formulario para suscripción a la newsletter, sin embargo, este formulario sí se encuentra activo y cuenta con la información relativa al tratamiento de los datos personales, como puede observarse en la captura de pantalla… - Sobre la “Política de Cookies” en la página web, se informa a la Aepd que Flexomed realizó las comprobaciones oportunas pudiendo confirmar en la actualidad que, sin realizar ninguna acción sobre la web y sin aceptar la utilización de las cookies, no se instalan cookies no necesarias. De igual forma, en caso de que el usuario las rechace, excepto las estrictamente necesarias, no se instalaran dichas cookies no necesarias. Además, en el banner desplegable los tipos de cookies Sobre las supuestas vulneraciones en el sitio web ***URL.2 Esta página web, como se indicaba en las alegaciones realizadas por Flexomed de fecha 10 de diciembre de 2020, fue creada y publicada por decisión propia del extrabajador sin tener instrucciones de la empresa para ello ni informarla de dicha acción. Prueba de ello, es que este sitio web, no ha sido publicado ni anunciado por la empresa por ninguna vía. Lo mismo ocurrió con el registro del dominio ***URL.3 , realizado por voluntad propia del extrabajador bajo su titularidad y sin comunicarlo a Flexomed. Se aporta una de las denuncias presentadas contra el extrabajador por este motivo. A la vista de lo anterior, este dominio web fue redireccionado por Flexomed a la web ***URL.1 de forma permanente, y por el momento, hasta que la empresa decida si finalmente utilizarán esta web y de qué manera lo harán, así como los tipos de datos que se recogerán y el tratamiento que se hará de ellos para, de esta manera, informar correctamente a los usuarios y cumplir con la normativa vigente. Flexomed se compromete a que, en caso de tomar la decisión de activar de nuevo esta web, la misma implementará la totalidad de las medidas adoptadas por la web ***URL.1 , especialmente en cuanto a la información sobre el tratamiento de los datos personales que se recojan a través de ella y en cuanto a las cookies que vayan a instalarse en la misma, atendiendo a las indicaciones de la Aepd en las notificaciones enviadas a Flexomed y la guía de cookies publicada por el mismo organismo, cumpliendo de esta forma, la normativa relativa a la protección de datos y la Ley de servicios de la sociedad de la información y de comercio electrónico. Como se ha detallado y documentado en el presente escrito y como muestra de la buena fe y el interés de la empresa en cumplir con la normativa de protección de datos, no suponer ningún tipo de perjuicio en este sentido a los titulares de los datos personales y solucionar este asunto de la forma más rápida posible, las anteriores medidas impuestas por la Aepd ya habían sido adoptadas”. DÉCIMO: Con fecha 06/04/21, por parte de esta Agencia, se vuelven a realizar comprobaciones sobre la “Política de Privacidad” y de la “Política de Cookies” en las páginas web indicadas, comprobando los siguientes aspectos en cada una de ellas: A).- Respecto de la página web, ***URL.1: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 - Sobre el tratamiento de datos personales en la página web: 1.- En la página inicial, a través de la pestaña: <<contacto>>, la web redirige a un formulario donde se recogen datos personales de los usuarios, como el nombre, el teléfono o el email. En la misma página donde se encuentra el formulario, existe además información sobre, quien es el responsable del tratamiento de los datos personales; la legitimación que tiene para el tratamiento de los datos (el consentimiento); los destinatarios y los derechos que asistente al usuario en relación con el tratamiento de sus datos personales. Antes de poder enviar el cuestionario, es necesario aceptar la política de privacidad marcando la casilla correspondiente: “_ Acepto el <<Aviso Legal>> y la <<Política de Privacidad>> cuya información básica aparece a continuación (…)”. En la parte inferior de la página principal, el usuario puede suscribirse para recibir comunicaciones comerciales de la entidad: “_Deseo recibir comunicaciones comerciales relacionadas con los productos y servicios de FLEXOGRÁFICA DEL MEDITERAAÉNEO, S.L.”. También existe la posibilidad de subscribirse a las newlletter de la entidad rellenando el formulario existente en la parte inferior de la página principal: Suscríbete a nuestra NEWSLETTER para estar al día de todas las novedades en nuestro universo de packaging y envase alimentario <<enviar>>. - Sobre la “Política de Privacidad” de la página web: 1.- A través del link <<Política de Privacidad>>, existente en la parte inferior del formulario indicado anteriormente, la web redirige a una nueva página, ***URL.4 , que proporciona información sobre el cumplimiento de la legislación vigente en materia de protección de datos; identificación del responsable del tratamiento de los datos; la finalidad de la recogida de los datos; los derechos de los usuarios sobre el tratamiento de sus datos personales; sobre el uso del portal web o sobre la propiedad intelectual, entre otras. - Sobre la “Política de Cookies” de la página web: 1.- Al entrar en la página inicial de la web indicada (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan las siguientes: - VISITOR_INFO1_LIVE: cookie que realiza el seguimiento de los videos visitados que se encuentran incrustados en la web. Tiene una permanencia de 240 días aproximadamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 - YSC: cookie que mide las reproducciones de videos realizadas por el usuario y registra los eventos de “Me gusta” o “Compartir video”. Es una cookie de sesión, caducando cuando finaliza la sesión con el navegador; - CONSENT: que miden cuándo un vídeo es visto, gustado o compartido. 2.- En la misma página inicial, (primera capa), se despliega el siguiente banner con información sobre cookies: “Usamos cookies en nuestro sitio web para brindarle la experiencia más relevante recordando sus preferencias y visitas repetidas. Al hacer clic en "Aceptar", acepta el uso de TODAS las cookies”. <<Ajustes Cookies>> --- <<aceptar>> 3.- Si se opta por ir al panel de configuración de las cookies, a través del enlace, <<ajuste cookies>>, se despliega un panel de configuración de cookies donde se pueden gestionar la utilización de las mismas, de forma granular, desplazando el cursor desde la posición <<off>> a la posición <<on>>, en los diferentes grupos de cookies constituidos: “Functional”; “Performance”; “Analytics” y “Others”. No obstante, si se opta por NO permitir el uso de las cookies, dejando los cursores en la posición, <<off>>, se comprueba que la página web sigue utilizando cookies de terceros no necesarias y tampoco ahora permitidas por el usuario, cuyos dominios pertenecen a, “Google.com”; “youtube.com” y “doubleclick.net” y que son las siguientes: - 1P_JAR: Cookie que transfiere datos a Google para hacer la publicidad más atractiva. - VISITOR_INFO1_LIVE: cookie que realiza el seguimiento de los videos visitados que se encuentran incrustados en la web. Tiene una permanencia de 240 días aproximadamente. - YSC: cookie que mide las reproducciones de videos realizadas por el usuario y registra los eventos de “Me gusta” o “Compartir video”. Es una cookie de sesión, caducando cuando finaliza la sesión con el navegador. - CONSENT: que miden cuándo un vídeo es visto, gustado o compartido. - IDE: cookies que se utiliza para mostrar anuncios de Google en sitios que no son de Google. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 - NID: cookie utilizada por Google para almacenar las preferencias del usuario. 4.- En la página de “Política de Cookies”, cuyo enlace se encuentra en la parte inferior de la página, <<Política de Cookies>>, la web redirige a una nueva página, ***URL.5 , que proporciona información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las cookies que utiliza la página web, tanto las propias como las de terceros (Google Analytics), la finalidad que tienen y el tiempo que estarán activas. Sobre cómo gestionar la instalación de B).- Respecto de la página web, ***URL.2 : Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, la web redirige al usuario a la ***URL.
2. HECHOS PROBADOS 1º.- Según la reclamación presentada en esta Agencia, las páginas web, ***URL.1 y ***URL.2, no disponían de política de privacidad, ni gestión de cookies. 2.- A requerimiento de esta Agencia, la entidad informó, entre otras, que: “La web, ***URL.1, titularidad de la Empresa, cuenta con la información y documentación necesaria en materia de protección de datos, incluyendo la Política de Privacidad, ***URL.4, y Política de Cookies, ***URL.5, contando con un aviso de cookies que aparece en la pantalla al entrar en la Web (Anexo III) (…)”. “Asimismo, la web ***URL.2 , titularidad también de la Empresa, redirige a los usuarios que quieran contactar con el titular de la página al formulario de contacto de la Web: ***URL.1 , el cual incluye la información sobre el tratamiento de datos de usuarios (…)”. 3.- Esta Agencia pudo constatar los siguientes aspectos en la página, ***URL.1: - Sobre el tratamiento de datos personales en la página web, se constató que a través de la página web se podía obtener datos personales de los usuarios. En dicha página existía un mensaje que informaba a los usuarios de lo siguiente: “su dirección de correo electrónico sólo se utiliza para enviarle nuestro catálogo e informarle sobre nuestros servicios de packaging personalizado para empresas. Usted tiene derecho a ponerse en contacto con nosotros para eliminar sus datos de nuestros registros”. - Se constató que en la “Política de Privacidad”, ***URL.4, que proporcionaba información sobre el cumplimiento de la legislación vigente en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 - Sobre la “Política de Cookies” de la página web, al entrar en la página principal de la web, sin realizar ninguna acción sobre la misma y sin aceptar la utilización de cookies, se utilizaban cookies no necesarias. También se comprobó que no se desplegaba ningún un banner con información sobre la utilización de éstas. - En la segunda capa, “Política de Cookies”, ***URL.5, proporcionaba información sobre las cookies, pero no existía ningún mecanismo que permitiera el rechazo de las mismas, solamente se remitía al usuario a configurar el navegador instalado en su equipo terminal. 4.- Sobre la página web, ***URL.2, esta Agencia pudo constatar los siguientes aspectos: - Sobre el tratamiento de datos personales, a través de las pestañas, <<ejemplos de psico packaging>>, y <<impresión digital online>>, la web redirigía a sendas páginas donde se podían recoger datos personales. - Sobre la “Política de Privacidad” de la página web, ***URL.6, al acceder a ella, aparecía el mensaje siguiente: “No se ha podido encontrar la página que buscas. Puede haber sido eliminada, renombrada o ni siquiera existir”. - Sobre la “Política de Cookies” de la página web, al entrar en la página principal de la web, sin realizar ninguna acción sobre la misma y sin aceptar la utilización de cookies, se utilizaban cookies no necesarias. También se comprobó que no se desplegaba ningún un banner con información sobre la utilización de éstas. A través del enlace, ***URL.7, la web redirigía a una nueva página con el siguiente: “No se ha podido encontrar la página que buscas. Puede haber sido eliminada, renombrada o ni siquiera existir”. 5.- Notificado el acuerdo de inicio, la entidad reclamada, titular de las páginas web indicadas, alegó, con fecha 11/12/20, entre otras, lo siguiente: Con relación a la página web ***URL.1: “Sobre el consentimiento prestado por los usuarios para el tratamiento de sus datos personales, se informa que Flexomed va a eliminar del formulario de contacto el apartado al que se refiere la Aepd en este punto, (…), debido a que, erróneamente se ha incluido esa información en ese formulario y no en el formulario de inscripción a la newsletter dispuesto también en la web ya que los datos recogidos a través del formuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 lario de contacto no se tratan con la finalidad de envío de newsletter sino únicamente, a fin de contestar a las solicitudes de información o las dudas indicadas por los usuarios a través de dicho formulario. Sobre la “Política de Cookies” de la página web” del Documento, se informa que la web sí que cuenta con un banner donde se informa sobre la instalación de cookies, adjuntando como Anexo I una captura de dicho banner que aparece en la web, donde puede apreciarse que se ofrece al usuario la posibilidad de aceptar, rechazar o configurar las cookies. y se encuentra actualmente modificando la segunda capa de la Política de Cookies de su web para incluir una información más clara (…). Con relación con la página web ***URL.2 : En lo que concierne a esta dirección web, se informa a la Aepd que Flexomed no tenía conocimiento de la publicación de esta web, ya que, únicamente solicitó a un trabajador de la Empresa que registrara el dominio sin que tuviese que realizar ninguna otra gestión más allá de esta, trabajador que ya no presta sus servicios a la empresa. Este extrabajador, además, y sin indicaciones de la Empresa registró el dominio ***URL.3, a su propio nombre, sin informar a Flexomed de ello y mientras prestaba servicios a la misma. Además de realizar el registro a su nombre, en su última etapa como trabajador en la Empresa, creó y publicó la página web ***URL.2, por decisión propia, sin tener instrucciones para ello por la Empresa y sin informar a la misma de esta acción, por lo que la Empresa y su personal desconocían de la existencia de dicha página hasta el momento en el que se recibe la primera de las notificaciones de la Aepd. (…) Por lo anterior, Flexomed quiere dejar constancia ante este organismo que no era consciente de que dicha web estaba creada, ni mucho menos, habilitada o publicada ya que la indicación que recibió el extrabajador por la Empresa fue únicamente la de registrar el nombre de dominio. (…) Sin perjuicio de lo anterior, la Empresa se encuentra actualmente en procesos para recuperar la titularidad de los dominios registrados por el extrabajador y poder comenzar con la gestión de los mismos cumpliendo, en todo momento, con la legislación vigente. Por el momento, la Empresa procede a implementar los textos legales necesarios(Aviso Legal, Política de Privacidad y Política de cookies) en ***URL.2, para garantizar que la web cumpla con la normativa. Asimismo, dicha web contará con el aviso de cookies del mismo modo que ***URL.1 Actualmente, Flexomed tiene iniciados procedimientos judiciales en contra el autor de la reclamación (…) 6.- El 20/02/21, por parte de esta Agencia, se vuelven a realizar comprobaciones sobre la Política de Privacidad y de la Política de Cookies de las páginas web indicadas: - Respecto de la página web, ***URL.1, se ha podido constatar los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 a).- Sobre el tratamiento de datos personales en la página web: Se constató que a través de la página web se podía obtener datos personales de los usuarios. Sobre la finalidad de los datos obtenidos en el formulario, la página web indica que serán: “Para poder contestarte al mensaje que me envíes con este formulario de contacto”. No obstante, existe también un mensaje en la parte inferior de esta página, donde se informa al usuario que: “su dirección de correo electrónico sólo se utiliza para enviarle nuestro catálogo e informarle sobre nuestros servicios de packaging personalizado para empresas. Usted tiene derecho a ponerse en contacto con nosotros para eliminar sus datos de nuestros registros”, no existiendo la posibilidad de negar el consentimiento para este tratamiento específico. En la parte inferior de la página principal existe el siguiente mensaje: “suscríbete a nuestra NEWSLETTER para estar al día de todas las novedades en nuestro universo de packaging y envase alimentario. [sibwp_form id=4]- Su dirección de correo electrónico sólo se utiliza para enviarle nuestro boletín e información sobre las actividades, ofertas y comunicaciones de FLEXOMED. Siempre puede usar el enlace para darse de baja incluido en cada boletín de noticias en su correo electrónico”. No obstante, se comprueba que el formulario para suscribirse a las “newletter”, no se encuentra activo. b).- Sobre la “Política de Cookies” de la página web: Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan cookies no necesarias. En la misma página inicial, al entrar en ella, se despliega el banner con información sobre Si se opta por rechazar todas las cookies excepto la estrictamente necesarias, (<<solo usar cookies necesarias>>), se comprueba que la página web sigue utilizando cookies no necesarias de los dominios ***URL.1, Google.es y Google.com; youtube.com;doubleclick.net, sibautomations.com. En la página de “Política de Cookies”, ***URL.5 , que proporciona información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las cookies que utiliza la página web, tanto las propias como las de terceros, la finalidad que tienen y el tiempo que estarán activas en el equipo terminal. - Respecto de la página web, ***URL.2, se ha podido constatar lo siguiente: a).- En la página inicial de la web, se identifica como responsable de la misma a: Flexomed; ***DIRECCIÓN.1, ***LOCALIDAD.1; (MURCIA) ESPAÑA. b).- Sobre el tratamiento de datos personales en la web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 No obstante, a través de las pestañas, <<ejemplos de psico packaging>> y <<impresión digital online>>, la web redirige a sendas páginas donde se pueden recoger datos personales de los usuarios. c).- Sobre la “Política de Privacidad” de la página web: A través del enlace, <<Política de Privacidad>>, existente en la página principal, la web redirige a una nueva página: ***URL.6, donde aparece el mensaje siguiente: “No se ha podido encontrar la página que buscas. Puede haber sido eliminada, renombrada o ni siquiera existir”. d).- Sobre la “Política de Cookies” de la página web: Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan cookies no necesarias. En la misma página inicial, al entrar en ella, se despliega el banner con información sobre En la página de “Política de Cookies”, ***URL.5 , que proporciona el siguiente mensaje: “Página no encontrada. No se ha podido encontrar la página que buscas. Puede haber sido eliminada, renombrada o ni siquiera existir”. 7.- Tras la recepción de las alegaciones a la propuesta de resolución, se comprueba de nuevo la “Política de Privacidad” y la “Política de Cookies” de las páginas web, constatando en esta última comprobación las siguientes cuestiones: A).- Respecto de la página web, ***URL.1: - Sobre el tratamiento de datos personales en la página web: 1.- En la página inicial, a través de la pestaña: <<contacto>>, la web redirige a un formulario donde se recogen datos personales de los usuarios, como el nombre, el teléfono o el email. En la misma página donde se encuentra el formulario, existe además información sobre, quien es el responsable del tratamiento de los datos personales; la legitimación que tiene para el tratamiento de los datos (el consentimiento); los destinatarios y los derechos que asistente al usuario en relación con el tratamiento de sus datos personales. Antes de poder enviar el cuestionario, es necesario aceptar la política de privacidad marcando la casilla correspondiente: “_ Acepto el <<Aviso Legal>> y la <<Política de Privacidad>> cuya información básica aparece a continuación (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 En la parte inferior de la página principal, el usuario puede suscribirse para recibir comunicaciones comerciales de la entidad: “_Deseo recibir comunicaciones comerciales relacionadas con los productos y servicios de FLEXOGRÁFICA DEL MEDITERAAÉNEO, S.L.”. También existe la posibilidad de subscribirse a las newlletter de la entidad rellenando el formulario existente en la parte inferior de la página principal: Suscríbete a nuestra NEWSLETTER para estar al día de todas las novedades en nuestro universo de packaging y envase alimentario <<enviar>>. - Sobre la “Política de Privacidad” de la página web: 1.- A través del link <<Política de Privacidad>>, existente en la parte inferior del formulario indicado anteriormente, la web redirige a una nueva página, ***URL.4 , que proporciona información sobre el cumplimiento de la legislación vigente en materia de protección de datos; identificación del responsable del tratamiento de los datos; la finalidad de la recogida de los datos; los derechos de los usuarios sobre el tratamiento de sus datos personales; sobre el uso del portal web o sobre la propiedad intelectual, entre otras. - Sobre la “Política de Cookies” de la página web: 1.- Al entrar en la página inicial de la web indicada (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan las siguientes: VISITOR_INFO1_LIVE; YSC y CONSENT 2.- En la misma página inicial, (primera capa), se despliega el siguiente banner con información sobre cookies: “Usamos cookies en nuestro sitio web para brindarle la experiencia más relevante recordando sus preferencias y visitas repetidas. Al hacer clic en "Aceptar", acepta el uso de TODAS las cookies”. <<Ajustes Cookies>> --- <<aceptar>> 3.- Si se opta por ir al panel de configuración de las cookies, a través del enlace, <<ajuste cookies>>, se despliega un panel de configuración de cookies donde se pueden gestionar la utilización de las mismas, de forma granular, desplazando el cursor desde la posición <<off>> a la posición <<on>>, en los diferentes grupos de cookies constituidos: “Functional”; “Performance”; “Analytics” y “Others”. No obstante, si se opta por NO permitir el uso de las cookies, dejando los cursores en la posición, <<off>>, se comprueba que la página web sigue utilizando cookies de terceros no necesarias y tampoco ahora permitidas por el usuario, cuyos dominios pertenecen a, “Google.com”; “youtube.com” y “doubleclick.net” y que son las siguientes: 1P_JAR; VISITOR_INFO1_LIVE; YSC; CONSENT; IDE y NID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 4.- En la página de “Política de Cookies”, cuyo enlace se encuentra en la parte inferior de la página, <<política de cookies>>, la web redirige a una nueva página, ***URL.5 , que proporciona información sobre, qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo de cookies existen e identifica las cookies que utiliza la página web, tanto las propias como las de terceros (Google Analytics), la finalidad que tienen y el tiempo que estarán activas en el equipo terminal. Sobre cómo gestionar la instalación de cookies en el equipo terminal, la página web remite al usuario a configurar el navegador instalado. B).- Respecto de la página web, ***URL.2 : Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, la web redirige al usuario a la página, ***URL.
3. FUNDAMENTOS DE DERECHO I.-Competencia: Es competente para resolver este procedimiento, respecto de la política de privacidad y el tratamiento de los datos personales de los usuarios de las webs, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. Es competente para resolver este procedimiento, respecto de la política de cookies, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados, comprobándose que, tanto la política de privacidad y la política de cookies habían sido modificadas tras la incoación del expediente y la notificación de la propuesta de resolución. Tras la recepción de las alegaciones a la propuesta de resolución, se comprueba de nuevo la “Política de Privacidad” y la “Política de Cookies” de las páginas web, constatando en esta última comprobación las siguientes cuestiones: a).- Respecto a la página web ***URL.1: Con relación al tratamiento de datos personales realizado en la página web, la web redirige a un formulario donde se recogen datos personales de los usuarios, como el nombre, el teléfono o el email. En la misma página donde se encuentra el formulario, existe además información sobre, quien es el responsable del tratamiento de los datos personales; la legitimación que tiene para el tratamiento de los datos (el consentimiento); los destinatarios y los derechos que asistente al usuario en relación con el tratamiento de sus datos personales. Antes de poder enviar el cuestionario, es necesario aceptar la política de privacidad marcando la casilla correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 Por otra parte, el usuario puede suscribirse para recibir comunicaciones comerciales de la entidad marcando la casilla correspondiente, si así lo desea. También existe la posibilidad de subscribirse a las newlletter de la entidad, rellenando el formulario existente para este fin. Con relación a la “Política de Cookies” de la página web, se sigue comprobando que: - Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la misma y sin rechazar las cookies, se utilizan cookies no necesarias. - El banner sobre cookies existente en la primera capa no informa al usuario de la utilización de cookies de terceros, tampoco se informa de que se mostrará publicidad relacionada con las preferencias, en base al perfil elaborado a partir de los hábitos de navegación del usuario. - Si se opta por rechazar todas las cookies, en el panel de control, dejando todos los cursores en la posición de <<off>>, se comprueba que la página web sigue utilizando cookies no necesarias de terceros. b).- Con respecto de la página web, ***URL.2, Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, ésta ya no existe, redirigiendo al usuario a la página, ***URL.
4. - III Sobre el consentimiento prestado por los usuarios para el tratamiento de sus datos personales, en la página web ***URL.
5. En la última comprobación que se ha realizado de la página web, se ha podido constatar que la misma permite recoger el consentimiento del usuario, individualizado para cada uno de los fines a los que la entidad dedicara el tratamiento de los datos. El artículo 6.1.a) del RGPD, se establece que, “el tratamiento solo será lícito si el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”. Por su parte, el artículo 7 del RGPD, indica, sobre el consentimiento, que: “
6. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
7. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento (…). En relación con estos dos artículos citados, se debe tener en cuenta el considerando