← España

PS-00406-2015

1/13 Procedimiento Nº PS/00406/2015 RESOLUCIÓN: R/02519/2015 En el procedimiento sancionador PS/00406/2015, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. , vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: En relación con el expediente instruido por esta Agencia a SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. por posible infracción del artículo 22. 2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, (en adelante LSSI), con fecha 2 de septiembre de 2014 se dictó la resolución R/01761/2014 en la que se acordó: “1. ARCHIVAR el Procedimiento Sancionador PS/00090/2014 instruido por la Agencia Española de Protección de Datos a la entidad entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. por infracción al artículo 22.2 de la LSSI. 2. APERCIBIR (A/00207/2014) a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). 3.- REQUERIR a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución: 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a incluir en el sitio web de su titularidad www.fotostar.es la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho V como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/04509/2014 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello.” Atendido que el intento de notificación de la citada resolución efectuado con fecha 4 de septiembre de 2014 en la (C/........1) de Valencia, resultó infructuoso al ser devuelto por el Servicio de Correos con la indicación de “Marchó”, la resolución R/01761/2014 fue publicada con fecha 19 de septiembre de 2014 en el BOE nº 228 y estuvo expuesta en el Tablón de Anuncios del Ayuntamiento de Valencia entre el 3 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 el 23 de octubre de 2014. SEGUNDO: En el Fundamento de Derecho V de la reseñada resolución se detallaban las siguientes deficiencias en relación con el sistema utilizado por la mercantil SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. para informar a los usuarios que accedían a su página web sobre el uso e instalación de cookies: “Relacionando dichas exigencias con la información ofrecida sobre cookies en la página web del sitio denunciado se efectúan las siguientes consideraciones: En el primer nivel de información, que se muestra a través de un aviso que aparece en la parte superior de la página inicial del sitito, se señala que: “En cumplimiento con la Ley 34/2002, de servicios de la sociedad de la información te recordamos que al navegar por este sitio estás aceptando el uso de cookies. Aceptar. Más información.”. A la vista de su contenido se observa que en el mismo no se informa sobre el uso de cookies no exceptuadas propias y de terceros, ni se identifican sucintamente las finalidades de los distintos tipos de cookies de primera y tercera parte empleadas, de tal modo que no se describen las finalidades esenciales a las que responden las preferencias, interacción de redes sociales que se analizan. Respecto del segundo nivel de información se apreciaba lo siguiente: En primer lugar la afirmación efectuada en el epígrafe ¿Qué es una cookie”, relativa a que las cookies “no contienen ni recopilan información” no se ajusta a la realidad al tratarse de dispositivos de almacenamiento y recopilación de información. En segundo lugar, no proporciona información sobre las finalidades de las exentos que se instalan en los navegadores de los usuarios. Así, no se hace mención a las finalidades de analítica web a las que responden las cookies del servicio de Google Analytics, a las finalidades publicitarias para las que se utilizan las cookies NID y PREF asociadas ambas al dominio google.es y la segunda también al dominio youtube.com, así como la cookie id del dominio doubleclick.net. Además, tampoco se reseña el uso de cookies para almacenar las preferencias de los usuarios teniendo en cuenta que la cookie PREF es un dispositivo con funciones polivalentes. En este segundo nivel tampoco se mencionan los fines para los que se utilizan las cookies vinculadas a la funcionalidad del servicio de vídeos del dominio youtube.com (VISITOR_INFO_LIVE y GEUP) ni las de compartición de redes sociales asociadas, según corresponda, a los dominios fotostar.es y addthis.com y twitter.com ( _atuvc, uid, loc, dt, uit ). No se advierte sobre el hecho de que algunas de las cookies usadas asociadas a los dominios addthis.com, twitter.com y doubleclick.net permiten el seguimiento y perfilado de la navegación del usuario en otros sitios web con distintas finalidades. Asimismo, no consta ninguna referencia sobre las respectivas finalidades y utilización de los dispositivos de Almacenamiento Local HTML5 asociados a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 dominios google.es y ct1.addthis.com (ambos de tercera parte) y al dominio fotostar.es (primera parte), ni sobre ni sobre la Flash Cookie persistente asociada al dominio s.ytimg.com. En tercer lugar, cuando se listan las cookies utilizadas por el servicio Google Analytics sólo se incluyen dos de ellas (_utma y _utmz) sin citar otras dos (_utmb y _utmc) En cuarto lugar, respecto de los mecanismos ofrecidos para desactivar o eliminar las cookies para el caso del navegador Internet Explorer continúa apareciendo una versión obsoleta (versión 5) cuando se estima más adecuado ofrecer el enlace de la versión 11 que dirige a la página web http://windows.microsoft.com/eses/internet-explorer/ie-security-privacy-settings#ie=11, que muestra una versión más actualizada para ajustar la configuración de privacidad de Internet Explorer para bloquear la instalación de cookies. Para el caso del navegador Mozilla Firefox sigue facilitándose un enlace para eliminar o desactivar las cookies que lleva a una página en lengua inglesa, cuando existe esa misma página en español a través del enlace localizable en la URL: http://support.mozilla.org/es/kb/cookies-informacion-que-los-sitios-web-guardan-en-? redirectlocale=en-US&redirectslug=Cookies Para el caso del navegador Google Chrome continua apareciendo un enlace para eliminar o desactivar las cookies que lleva a una página en lengua inglesa, cuando existe esa misma página en español a través del enlace localizable en la URL. https://support.google.com/accounts/answer/61416?hl=es. Para el caso del navegador Safari se muestra un enlace para eliminar o desactivar las cookies que lleva a una página en lengua inglesa, cuando existe esa misma página en español localizable en la URL: http://support.apple.com/kb/HT1677? viewlocale=es_ES Teniendo en cuenta que en los accesos realizados al sitio web con fechas 11 de septiembre de 2013 y 1 de agosto de 2014 se descargó, asociada al dominio s.ytimg.com, una flash cookie que no todos los navegadores pueden mostrar o gestionar sin la instalación de un complemento específico, dado que las conocidas “Flash cookies” se caracterizan, entre otras cosas, por ser dispositivos persistentes sin un plazo definido de caducidad, es por lo que se hace necesario incluir información sobre herramientas que permitan gestionar dicho tipo de dispositivo en cualquier navegador, como por ejemplo, la herramienta dispuesta por Macromedia (responsable de la tecnología Flash) accesible en la URL www.macromedia.com/support/documentation/en/flashplayer/help/settings_manager07. html .” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 TERCERO: En el marco de las Actuaciones Previas de Investigación E/4509/2014, acordadas por el Director de la AEPD a los efectos de constatar el cumplimiento de las medidas requeridas en el Apercibimiento A/00207/2014, la Subdirección General de Inspección de Datos pudo comprobar los hechos que a continuación se indican: I.Con fecha 17 de abril de 2015 se constata que la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. no ha contestado el requerimiento que le fue efectuado en la resolución de fecha 2 de septiembre de 2014. La notificación de dicha resolución de Apercibimiento con requerimiento de medidas correctoras se intentó realizar en la (C/........1) de Valencia, domicilio en el que se habían seguido las actuaciones que dieron lugar al acuerdo del Apercibimiento nº A/00207/2014. Al resultar dicho intento infructuoso con fecha 4 de septiembre de 2014 por “Desconocido”, según consta en Certificado expedido por la Entidad Estatal Correos y Telégrafos con fecha 20 de abril de 2015, su práctica se realizó conforme lo dispuesto en los artículos 59.5, 60.2 y 61 de la LRJ-PAC. II.También con fecha 17 de abril de 2015 se verifica que la información por capas mostrada en la página web www.fotostar.es no cumple los requisitos puestos de manifiesto en el Fundamento de Derecho V de la resolución R/01761/2014, persistiendo las carencias informativas sobre el uso de dispositivos de almacenamiento y recuperación de datos que se pusieron de manifiesto durante la tramitación del procedimiento de Apercibimiento A/00207/2014 III.Con fecha 20 de abril de 2015 se accede al citado sitio web, constatándose la descarga de cookies no exentas del deber de información. IV.Con fecha 22 de abril de 2015 se reitera a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. el requerimiento de medidas efectuado en la parte dispositiva de la mencionada resolución, dirigiendo a tales efectos escrito al domicilio sito en la (C/........2) de Valencia, que es la dirección de contacto que aparecía en esa fecha en el sitio web www.fotostar.es. El intento de notificación de dicho envío resultó infructuoso o por “Ausente en Reparto” los días 27 y 28 de abril de 2015, siendo devuelto con posterioridad por el Servicio de Correos por “Sobrante“ en Lista de Correos . V.Con fecha 19 de mayo de 2015 se dirige escrito en idéntico sentido al domicilio social de esa empresa , sito en la (C/........3) de Valencia . Dicho envío es devuelto por el Servicio de Correos por “Marchó“ . VI.Con fecha 15 de junio de 2015 se notifica a la mencionada entidad escrito de fecha 12 de junio de 2015 en el que se reiteraba el cumplimiento de las medidas correctoras requeridas en el punto 3 de la parte dispositiva de la resolución R/01761/2014 . Dicho envío fue notificado a través de los servicios de MRW en la (C/........2) de Valencia. CUARTO: De las actuaciones practicadas en el expediente de referencia E/04509/2014, se desprende que a fecha 7 de julio de 2015 no constaba que la mencionada entidad hubiese adoptado las medidas de subsanación que, con arreglo a lo previsto en el artículo 39 bis 2 de la LSSI, le fueron requeridas en el procedimiento de apercibimiento de referencia A/00207/2014, no habiendo aportado documentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 alguna que acreditase el cumplimiento de las medidas correctoras requeridas en la citada resolución de fecha 2 de septiembre de 2014. QUINTO: Como consecuencia de la falta de atención del apercibimiento contemplado en el artículo 39 bis 2 de la LSSI, con fecha 29 de julio de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L., por la presunta infracción del artículo 37.1.

  1. n)de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.i de la citada Ley Orgánica, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEXTO: Consta que el intento de notificación del citado Acuerdo de Iniciación a la mencionada empresa practicado en la (C/........2) de Valencia resultó infructuoso por “Ausente Reparto” en fechas 3 y 4 de agosto de 2015, según figura en el Acuse de Recibo de la Entidad Estatal Correos y Telégrafos. En dicho domicilio se practicó válidamente con fecha 15 de junio de 2015 la notificación dirigida a SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. , en la que se reiteraba el cumplimiento de las medidas correctoras requeridas en la resolución del procedimiento A/00207/2014. De conformidad con lo previsto en los artículos 59.5, 60.2 y 61 de la Ley 30/19992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y de Procedimiento Administrativo Común, (en lo sucesivo LRJ-PAC), con fecha 18 de agosto de 2015 se procedió a la notificación del mencionado Acuerdo de Inicio de procedimiento sancionador mediante la publicación de un anuncio en el Boletín Oficial del Estado núm. 200. SÉPTIMO: Transcurrido el plazo concedido para formular alegaciones al reseñado Acuerdo de Inicio que le fue concedido a SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. sin que conste la presentación de las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Con fecha 2 de septiembre de 2014 el Director de la Agencia Española de Protección de Datos acordó en la Resolución R/01761/2014, APERCIBIR (A/00270/2014) a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI, en relación con una infracción del artículo 22. 2 de la citada norma, tipificada como leve en el artículo 38.4.
  2. g)de la reseñada LSSI. . SEGUNDO: En la misma resolución se acordaba REQUERIR a la mencionada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 entidad, “de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de un mes desde la notificación de la presente resolución: 3.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a incluir en el sitio web de su titularidad www.fotostar.es la información sobre los dispositivos de almacenamiento y recuperación de datos no exentos que aparece señalada en el Fundamento de Derecho V como incompleta o no facilitada. 3.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento.” Con objeto de constatar el cumplimiento de lo requerido, el Director de la Agencia Española de Protección de Datos ordenó abrir Expediente de Actuaciones Previas de Investigación E/04509/2014, lo que se comunicaba a la entidad requerida en la aludida resolución de fecha 2 de septiembre de 2014. TERCERO: La notificación de la resolución del Apercibimiento nº A/00207/2014, de fecha 2 de septiembre de 2014, junto con el requerimiento de medidas correctoras de subsanación acordado en la misma, se practicó mediante anuncio publicado en el Boletín Oficial del Estado nº 228 de fecha 19 de septiembre de 2014 y Edicto expuesto al público en el Tablón de Edictos del Ayuntamiento de Valencia entre el 3 y el 23 de octubre de 2014, ya que el envío dirigido a la (C/........1), de Valencia, resultó infructuoso por “Desconocido” en el intento efectuado el 4 de septiembre de 2014, según consta en Certificado expedido por la Entidad Estatal Correos y Telégrafos con fecha 20 de abril de 2015. CUARTO: De la información contenida en las de Actuaciones Previas de Investigación E/04509/2014 se desprendía que no constaba que por parte de la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. se hubiese atendido el requerimiento de subsanación de medidas efectuado por el Director de la Agencia de Protección de Datos en la resolución de fecha 2 de septiembre de 2014, cuyo cumplimiento fue reiterado por esta Agencia mediante escrito de fecha 12 de junio de 2015 que consta como entregado el día 15 de junio de 2015 en el domicilio sito en la (C/........2) de Valencia, dirección de contacto que figuraba en el sitio web www.fotostar.es a fecha 17 de abril de 2015. El anterior escrito de reiteración de cumplimiento de medidas correctoras dirigido a esa misma dirección con fecha 22 de abril de 2015 fue devuelto por la Entidad Estatal Correos y Telégrafos por “Sobrante”, al no haber sido retirado por dicha mercantil del servicio de “Lista de Correos” después de dejarle aviso en el buzón al estar “Ausente Reparto” con fechas 27 y 28 de abril de 2015. . QUINTO: No consta que durante la tramitación del presente procedimiento sancionador la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. haya adoptado las medidas correctoras que le fueron requeridas en la resolución acordada en el Apercibimiento A/00207/2014 y reiteradas posteriormente en la forma indicada en el anterior Hecho Probado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.1.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. • Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2001 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 arriba trascrito, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, pues no consta que la entidad imputada haya formulado alegaciones después de la notificación del acuerdo de inicio del presente procedimiento sancionador, por lo que es conforme a derecho considerar el mismo como propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 III El artículo 59.5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en adelante LRJ-PAC, dispone respecto de la práctica de la notificación que: “ Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o el medio a que se refiere el punto 1 de este artículo, o bien, intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de un anuncio en el “Boletín Oficial del Estado”. Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la comunidad autónoma o de la provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del consulado o sección consultar de la Embajada correspondiente o en los tablones a los que se refiere el artículo 12 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos. Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través c de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el “Boletín Oficial del Estado”. En el presente caso se han observado las prescripciones legales reseñadas en el citado precepto tal como se ha señalado en el Antecedente de Hecho Sexto de la presente Resolución. IV En el presente caso procede dilucidar si la entidad imputada ha atendido en el requerimiento de adopción de medidas correctoras instadas y comunicación de las mismas efectuado a dicha entidad por esta Agencia en la resolución R/01761/2014, correspondiente al procedimiento de Apercibimiento nº A/00207/2014 acordado el con arreglo a lo dispuesto en el artículo 39 bis 2 de la LSSI en relación con la infracción del artículo 22.2 de la citada norma, tipificada como leve en su artículo 38.4.g). El artículo 22.2 de la LSSI establece que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 La vulneración de dicho precepto está tipificada como infracción leve en el artículo 38.4.
  4. g)de la LSSI en los siguientes términos: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2” , estableciéndose en el párrafo segundo del artículo 43.1 de dicha norma que: “corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
  5. d)e
  6. i)y 38.4 d),
  7. g)y
  8. h)de esta Ley.” A su vez, el artículo 39 bis. 2 de la LSSI dispone en relación con la “Moderación de sanciones que: “ Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
  9. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  10. b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. .” (El subrayado es de la AEPD) Por su parte, el artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. De este modo, el mencionado artículo 39.bis.2 de la LSSI permite al órgano sancionador, en forma excepcional y cuando concurren las especiales circunstancias descritas en dicho precepto, sustituir la sanción que pudiera recaer con motivo de la instrucción de un procedimiento sancionador por una resolución de Apercibimiento con requerimiento de medidas correctoras al sujeto responsable de la infracción. Tales medidas han de ser ajustadas a cada supuesto, teniendo el responsable de la conducta infractora la obligación de acreditar ante esta Agencia en el plazo establecido al efecto el cumplimiento de lo requerido, puesto que en caso contrario procederá la apertura por parte de la AEPD de procedimiento sancionador por incumplimiento o desatención de las medidas de subsanación instadas en el Apercibimiento acordado. En el supuesto ahora analizado, en la Resolución R/01761/2014 se acreditó el incumplimiento de lo dispuesto en el artículo 22.2 de la LSSI por parte de SERVICIOS FOTOGRÁFICOS FOTO STAR, S.L. , acordándose en la misma, en aplicación del artículo 39 bis 2 anteriormente citado Apercibir a dicha entidad para que en el plazo de un mes adoptase las medidas oportunas tendentes a subsanar el citado incumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Concretamente, se requirió a la entidad infractora para que incluyera en el sitio web de su titularidad determinada información sobre cookies que no facilitaba a los usuarios que accedían al portal www.fotostar.es y, también, para que comunicase su subsanación a esta Agencia aportando medios de prueba que acreditasen el cumplimiento de lo requerido, tal y como figura en los Hechos Probados Primero y Segundo de esta resolución. Notificada la mencionada Resolución de Apercibimiento a la entidad infractora en la que se comunicaba al infractor la apertura de Actuaciones Previas de Investigación E/04509/2014 para constatar el cumplimiento de lo requerido en dicha Resolución, se comprueba que dicha empresa no ha contestado al requerimiento de adopción de medidas correctoras que le fue notificado en el modo señalado en el Hecho Probado Tercero y, posteriormente, le fue reiterado en dicho expediente de investigación mediante escrito de fecha 12 de junio de 2015 que consta como notificado con fecha 15 de junio de 2015. Tras constatar en dichas actuaciones previas de investigación la inexistencia de documentación o prueba alguna acreditativa del cumplimiento por parte de la mencionada empresa de lo requerido en el reseñado Apercibimiento, se evidencia que SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. no ha justificado haber adoptado las medidas correctoras indicadas en el citado Requerimiento, hecho que se comprobó, además, en el acceso efectuado al sitio web de su titularidad con fecha 21 de abril de 2015, ni informado a esta Agencia sobre su subsanación en el plazo indicado en el mismo, quedando probado que incumplió el requerimiento efectuado por el Director de la AEPD en la resolución de fecha 2 de septiembre de 2014, desatención que conllevó la apertura del presente procedimiento sancionador PS/00406/2015 por dicho incumplimiento. V Teniendo en cuenta los preceptos citados en el anterior Fundamento de Derecho y de conformidad con lo previsto en el artículo 37.1.
  11. n)de la LOPD que establece como funciones de la Agencia de Protección de Datos “Cuantas otras le sean atribuidas por normas legales o reglamentarias.”, la falta de atención del mencionado Apercibimiento , contemplada en el artículo 39 bis 2 de la LSSI, supone la comisión por parte de la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. de la infracción prevista en el artículo 44.3
  12. i)de la LOPD, que considera infracción grave: “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso, ha quedado acreditado que la mercantil imputada no ha atendido el requerimiento efectuado en la resolución de Apercibimiento A/00207/2014 . El hecho constatado de la falta de atención al requerimiento efectuado por el Director de esta Agencia Española de Protección de Datos a la entidad imputada establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.
  13. n)de la LOPD en su relación con lo dispuesto en el artículo 39 bis 2 de la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 VI El artículo 45.1, 2, 4 y 5 de la LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la posibilidad de reducir la cuantía de la sanción, aplicando la escala que preceda en gravedad, siempre que exista una cualificada disminución de la culpabilidad o de la antijuridicidad del hecho, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, se aprecian circunstancias que suponen una disminución cualificada de la culpabilidad de la entidad imputada por la concurrencia de varios de los criterios enunciados en el apartado 4 del citado artículo 45, como son la falta de constancia de que la entidad imputada haya obtenido beneficios como consecuencia de la comisión de la infracción o se hayan generado perjuicios a las personas interesadas o terceras personas y la ausencia de reincidencia. Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por otro lado respecto de los criterios que recoge el artículo 45.4 de la LOPD relativos a la aplicación del principio de proporcionalidad en la graduación del importe de las sanciones, se concluye que en este supuesto actúan como agravantes las circunstancias recogidas en los criterios
  29. a)y f). En este sentido, si bien no ha quedado acreditada la existencia de intencionalidad en la conducta imputada, de la secuencia de hechos expuesta en esta resolución y de la cronología de los mismos se evidencia la falta de diligencia de SERVICOS FOTOGRAFICOS FOTO STAR, S.L. para adoptar las medidas necesarias en orden no sólo a corregir las deficiencias informativas sobre el uso de dispositivos de almacenamiento y recuperación de datos que le fueron indicadas en la resolución de Apercibimiento de tanta cita en relación con la información facilitada al respecto en su página web www.fotostar.es, sino también para informar a esta Agencia, en el plazo y formas indicados en la misma, sobre el cumplimiento de lo requerido. Por lo cual no consta que a fecha de esta resolución dicha entidad haya atendido el requerimiento que le fue efectuado en la resolución de Apercibimiento de fecha 2 de septiembre de 2014, manteniéndose la conducta infractora desde el momento en que devino firme en vía administrativa la reseñada resolución hasta la actualidad por falta de contestación al mismo, ello a pesar de que con fecha 15 de junio de 2015 dicha entidad recibió escrito de reiteración del requerimiento efectuado por el Director de la AEPD en la Resolución R/01761/2014 y se ha procedido a notificar la presente resolución. Paralelamente, se estima que actúan como atenuantes las circunstancias recogidas en los criterios e),
  30. g)y
  31. h)del citado artículo 45.4, ya citadas a los efectos de aplicar la reducción cualificada en la cuantía de la sanción contemplada en el artículo 45.5 de la LOPD. En consecuencia, se estima adecuado a la gravedad de los hechos imputados imponer una sanción en la cuantía de 5.000 euros a SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. , C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 por una infracción del artículo 37.1.
  32. n)de la LOPD en su relación con lo dispuesto en el artículo 39 bis 2 de la LSSI, tipificada como grave en el artículo 44.3.
  33. i)de la LOPD, una multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en los apartados 1, 2 , 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a SERVICIOS FOTOGRAFICOS FOTO STAR, S.L. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.