PS-00419-2018

1/12 938-0419 Procedimiento Nº: PS/00419/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de septiembre de 2018 Don A.A.A., (en adelante el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos exponiendo que la página web ***URL.1 utiliza un formulario de contacto para recoger datos personales de los usuarios sin incluir ninguna información sobre los aspectos contemplados en la normativa actual sobre protección de datos, añadiendo que dicho formulario no contenía ningún enlace a la “Política de Privacidad” del sitio web por carecer de dicho documento. Asimismo, el reclamante indica que al carecer de “Aviso Legal” en el que se especifiquen los datos obligatorios del titular del sitio web no puede facilitar información al respecto. SEGUNDO: Con fecha 23 de noviembre de 2018 tiene entrada en esta Agencia escrito del representante legal del titular del mencionado sitio web comunicando que, a la vista de información solicitada en relación con la reclamación interpuesta por el reclamante, han procedido a actualizar la “Política de Privacidad”, “Política de Cookies” y “Aviso Legal” del sitio web, habiendo también dirigido, con fecha 21 de noviembre de 2018, un correo electrónico al reclamante informándole que habían procedido a actualizar los contenidos de su sitio web. Con fecha 14 de enero de 2019 se accede al mencionado sitio web, constatándose que dispone del formulario denominado “Mi cesta de la compra: Datos envío”, a cumplimentar con la siguiente información por los usuarios que desean adquirir alguno de los productos ofertados en la mencionada página web: “DATOS DEL COMPRADOR (Para enviarle una confirmación de la compra y ponernos en contacto si hay alguna incidencia):” En este apartado se requiere cumplimentar los apartados correspondientes a: Nombre y apellidos, Teléfono móvil y e-mail. “DATOS DE ENVÍO (para enviarle el pedido a la dirección deseada):” En este apartado se requiere cumplimentar los apartados relativos a: A la atención de, Dirección, Población, Código Postal y Estado. Se constata que la entidad LIVING TERRITORIWEB, S.L., (en adelante, el reclamado), titular del sitio web ***URL.1 y responsable del tratamiento a efectuar con los datos recabados a través del reseñado formulario, no ofrece a los interesados en el momento de la solicitud de dicha información y con carácter previo a su recogida, ningún sistema de información por capas o mecanismo que les permita enlazar directamente con la información relativa al tratamiento de sus datos personales establecida en el artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Protección de Datos (en adelante RGPD), ni, en su caso, poder manifestar su consentimiento o rechazo al tratamiento de sus datos en función de las finalidades a las que responda su uso. En cuanto a la información facilitada por el reclamado a través del enlace de “Política de Privacidad” ubicado al pie de cada una de las páginas que integran el sitio web, se observa la falta de especificación de los siguientes extremos: Datos de contacto del Delegado de Protección de Datos, en su caso. Los fines del tratamiento a que se destinan los datos personales, ya que la finalidad del tratamiento descrita “para la gestión y mantenimiento de algunos de nuestros servicios” no permite conocer la naturaleza de dichos servicios. La legitimación en la que se basa la licitud del tratamiento de datos para cada una de las finalidades a las que obedece el mismo, de conformidad con lo previsto en el artículo 6 del RGPD. Respecto de la información relativa al ejercicio de derechos, deberá eliminarse el de cancelación. De otorgarse el consentimiento para alguna finalidad específica (art. 6.1.a o artículo 9.2.

1. a)RGPD), se informará del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. El derecho a presentar una reclamación ante la autoridad de control. Si la comunicación de los datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, deberá informarse si el interesado está obligado a facilitar los datos personales, así como de las posibles consecuencias de no facilitar tales datos. Por otra parte, deberá adecuarse la información referida al uso de cookies contenida en el documento de Política de Privacidad a los dispositivos descargados, ya que consta que se utilizan cookies analíticas de tercera parte del servicio de Google Analytics. TERCERO: Consultada con fecha 14 de enero de 2019 la aplicación que gestiona los antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, se verifica que al reclamado no le constan registros previos en materia de protección de datos. CUARTO: Con fecha 14 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LIVING TERRITORIWEB, S.L., de conformidad con lo previsto en el artículo 58 apartado 2º del citado RGPD, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), tipificada en el artículo 83.5.
2. b)del mismo, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. QUINTO: Notificado el reseñado acuerdo de inicio, con fecha con fecha 21 de marzo de 2019 se registra de entrada en esa Agencia escrito del representante legal del 3/12 reclamado alegando, en síntesis, que se ha procedido a actualizar la política de privacidad del sitio para subsanar las irregularidades descritas a fin de cumplir con los requisitos establecidos por el RGPD. A estos efectos se alega que se ha suprimido el formulario de contacto y se ha incluido un checkbox en el formulario “donde se hace la introducción de datos personales, para que si el usuario no acepta de manera expresa su acuerdo con nuestra política de datos, no pueda continuar con su compra.” SEXTO: A los efectos de comprobar los cambios alegados por el reclamado, de cuya realización no ha remitido documentación o medio de prueba acreditativo alguno, con fecha 1 de abril de 2019 se accede al sitio web ***URL.1 a fin de comprobar las modificaciones introducidas en la política de privacidad del portal y en el formulario “Mi cesta de la compra: Datos de envío”, obrando en el Hecho Probado nº 3) del presente acto el resultado de la verificación efectuada, que se da por reproducida a efectos de evitar su reiteración. SÉPTIMO: Con fecha 2 de abril de 2019 se formuló propuesta de resolución, en el sentido de que, de conformidad con lo previsto en el artículo 58.2.
3. b)del RGPD, la Directora de la Agencia Española de Protección de Datos impusiera a LIVING TERRITORIWEB, S.L una sanción de APERCIBIMIENTO por una infracción a lo previsto en el artículo 13 del RGPD en su relación con lo dispuesto en los apartados 1 y 2 del artículo 11 de la de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en lo sucesivo LOPDGDD), tipificada en el artículo 83.5.
4. b)del RGPD. Asimismo, se proponía que de no haberse acreditado por el reclamado la subsanación de la situación irregular con anterioridad a la emisión de la resolución del procedimiento, de conformidad con lo previsto en el artículo 58.2.
5. d)del RGPD, la Directora de la Agencia Española de Protección de Datos ordenase al reclamado la adopción de las medidas necesarias para adecuar la información ofrecida a la normativa de protección de datos vigente, para lo cual, en el plazo de UN MES a contar desde el día siguiente a la notificación de la resolución del procedimiento, dicha entidad deberá: ACREDITAR mediante cualquier prueba válida en derecho la realización de las modificaciones necesarias en los apartados ¿Qué datos personales tratamos? y “Actualizaciones de nuestra Política de Privacidad” contenidas en el documento de “Política de Privacidad” del sitio web ***URL.1 para que la información contenida en los mismos responda íntegramente a lo dispuesto en el artículo 13 del RGPD. La propuesta de resolución se notificó al reclamado con fecha 8 de abril de 2019, según figura en el certificado de entrega emitido por la Sociedad Estatal Correos y Telegrafos, S.A. obrante en el procedimiento, no constando que el reclamado ejercitase su derecho a formular alegaciones en el plazo concedido a tales efectos ni que haya aportado ningún medio de prueba justificando la adopción de medidas tendente a regularizar la situación. OCTAVO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es HECHOS Primero: Con fecha 14 de septiembre de 2018 se registra de entrada en la AEPD reclamación formulada por el reclamante comunicando que a través del formulario de contacto de la página web ***URL.1 se recogen datos personales de los interesados sin facilitarles la información establecida en el RGPD. Segundo: En el acceso efectuado con fecha 14 de enero de 2019 al sitio web http:// ***URL.1 se comprueban los siguientes hechos: 2.1 Que LIVING TERRITORIWEB, S.L. es titular del reseñado portal. 2.2 Que los usuarios que desean adquirir alguno de los productos comercializados en el portal han de cumplimentar el formulario denominado “Mi cesta de la compra: Datos envío”, en el que se requieren los siguientes datos personales de los interesados: “DATOS DEL COMPRADOR (Para enviarle una confirmación de la compra y ponernos en contacto si hay alguna incidencia):” Apartado donde se requiere facilitar: Nombre y apellidos, Teléfono móvil y e-mail. “DATOS DE ENVÍO (para enviarle el pedido a la dirección deseada):” Apartado donde se requiere facilitar los campos: A la atención de, Dirección, Población, Código Postal y Estado. En dicho formulario, el responsable del tratamiento no facilitaba a los interesados cuyos datos solicitaba ningún mecanismo o sistema de información por capas que permitiera acceder, en el momento de la obtención de los datos y con carácter previo a su recogida, a la información indicada en el artículo 13 del RGPD y, en su caso, manifestar su consentimiento o rechazo al tratamiento de sus datos en función de sus finalidades. 2.3 En la “Política de Privacidad” del sitio web se observa la falta de especificación de los siguientes extremos: Datos de contacto del Delegado de Protección de Datos, en su caso. Los fines del tratamiento a que se destinan los datos personales La legitimación en la que se basa la licitud del tratamiento de datos para cada una de las finalidades a las que obedece el mismo, de conformidad con lo previsto en el artículo 6 del RGPD. Respecto de la información relativa al ejercicio de derechos, deberá eliminarse el de cancelación. De otorgarse el consentimiento para alguna finalidad específica (art. 6.1.a o artículo 9.2.
6. a)RGPD), se informará del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. El derecho a presentar una reclamación ante la autoridad de control Si la comunicación de los datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, deberá informarse si el interesado 5/12 está obligado a facilitar los datos personales, así como de las posibles consecuencias de no facilitar tales datos. Por otra parte, la información referida al uso de cookies contenida en el documento de Política de Privacidad deberá adecuarse a los dispositivos descargados (se indica que se utilizan cookies analíticas de tercera parte del servicio de Google Analytics.) Tercero: En el acceso efectuado con fecha 1 de abril de 2019 al sitio web http:// ***URL.1 se comprueban los siguientes hechos: 3.1 Al pie del formulario “Mi cesta de la compra: Datos envío” se ha incluido la siguiente leyenda: “Para poder continuar procesando su compra necesitamos que acepte nuestra política de privacidad. Puede consultarla haciendo clic aquí.”, bajo la cual aparece una casilla en blanco asociada al texto “Acepto la política de privacidad.” (El subrayado es un enlace que conduce al documento de “Política de privacidad” del sitio web). 3.2 Se comprueba que se ha modificado la “Política de Privacidad” a fin de incluir la información que no se ofrecía en el anterior acceso de fecha 14 de enero de 2019. 3.3 También se constata la inclusión en dicho documento de la siguiente información: En el apartado ¿Qué datos personales tratamos? de dicho documento aparece, junto con otra información que “En caso de que facilites datos de terceros, manifiestas contar con el consentimiento de los mismos y te comprometes a trasladarles la información contenida en esta cláusula, eximiendo a Free Catalonia de cualquier responsabilidad. “ En el apartado “Actualizaciones de nuestra Política de Privacidad” se señala: “Esta Política puede actualizarse periódicamente para reflejar cambios en nuestras prácticas sobre la información personal. Publicaremos un aviso destacado en el Sitio o te enviaremos un correo electrónico para notificarte cualquier cambio significativo en nuestra Política e indicaremos en la parte superior de la Política cuándo se actualizó por última vez” FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2.
7. b)y
8. d)del RGPD reconocen a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III El artículo 12 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, en su apartado 1 se establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” En el presente supuesto se imputa al reclamado la vulneración del deber de informar previsto en el artículo 13 del RGPD, precepto que en cuanto a la ”Información que deberá facilitarse cuando los datos personales se obtengan del interesado.”, determina que: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
9. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
10. b)los datos de contacto del delegado de protección de datos, en su caso;
11. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
12. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
13. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
14. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
15. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; 7/12
16. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
17. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
18. d)el derecho a presentar una reclamación ante una autoridad de control;
19. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
20. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. A su vez, ambos preceptos, se relacionan con lo dispuesto en los Considerandos 60 y 61 del citado RGPD, que establecen: “