PS-00427-2019

1/7  Procedimiento Nº: PS/00427/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00427/2019, instruido por la Agencia Española de Protección de Datos, a Dª A.A.A., titular de los sititos webs: www.cursos.vivirsinansiedad.com ; www.agorawings.com/terapia-gratis blog.ataquedeansiedad.com ; www.nessitaarauz.es y www.agorawings.com/cursos-vivirsinansiedad , (en adelante, “la persona reclamada”), en virtud de denuncia presentada por D B.B.B., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 31/01/19, tuvo entrada en esta Agencia escrito, presentado por el reclamante, en el que se indicaba, entre otras, lo siguiente: “En relación a la Resolución dictada por La AEPD con Nº R/01140/2018, la cual he recibido en fecha 12/12/2018, informar de lo siguiente: 1- Se acuerda apercibir (A/00104/2018) a la denunciada. 2- Requerir a la denunciada para que cumpla lo previsto en el art 22.2 de la LSSI y con la obligación de información prevista en el art 13 del RGPD. 3-Informe a la AEPD del cumplimiento de lo requerido. Tras la notificación de las obligaciones por parte de la AEPD, de fecha 29/06/2018, la denunciada cambió el nombre del dominio y modificó la estructura y contenido de sus webs, pero sin cumplir con lo establecido y ya informada LSSI y RGDP. Pues bien, como podrán comprobar en la página web www.nessitaarauz.es, la denunciada no ha cumplido con el requerimiento de la AEPD. Sigue sin informar sobre las cookies, no cumple con el Art. 22.2 de la LSSI ni con el Art. 13 del RGPD. No dispone en su formulario de contacto de la obligación de aceptar la política de privacidad ni aviso legal. Tan solo usa un cuadradito de no soy un robot con un recaptcha. Tiene un enlace de privacidad y condiciones, que dirigen únicamente a google y no a su propia política de privacidad y aviso legal. Igualmente en la web analizada por la resolución mencionada, blog.ataquedeansiedad.com, tan solo informa del aviso de cookies, que aunque no las aceptes, se instalan igualmente. En dicha página, dispone de una suscripción, en la cual no informa de la finalidad de los datos recogidos ni quien es el propietario ni receptor de dichos datos recogidos. Pese a haber sido notificada de las obligaciones, haber sido apercibida y requerida para que cumpla con las obligaciones, no solo no ha cambiado nada, sino que tampoco ha cumplido con lo requerido por la AEPD, de informar a la AEPD en el plazo de un mes de cumplir con lo requerido. Pero esto no es todo, ha abierto una nueva web www.cursos.vivirsinansiedad.com/subscripciones , en la cual no cumple nada de lo exigido por Ley. En esta nueva web, la dirige a realizar cobros online y la política de privacidad y aviso legal, los dirige a un prestador de servicios www.podia.com/terms , cuando siendo ella titular de esa web, debería informar tanto del aviso legal y privacidad del prestador, como el del usuario titular de la web, en este caso, la denunciada. No dispone de aviso de cookies en esta web”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 ción otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fechas 11/03/19 y 12/05/19, se dirigen sendos requerimientos informativos a la persona reclamada. TERCERO: Con fecha 12/07/19, la persona reclamada presenta escrito, en esta Agencia, aportando, entre otras, la siguiente información: “Informar que no había tenido conocimiento de las comunicaciones anteriores remitidas por esta Agencia hasta la fecha, incluida el apercibimiento referido (AT/00104/2018) con las instrucciones exigidas para el cumplimiento normativo en los sitios web que se indican, así como la remisión del informe. Posteriormente se explica con más detalle los motivos por los cuales durante las fechas comprendidas entre 01/05/18 y 30/04/19 no he residido en el que había sido mi domicilio habitual hasta entonces y que además sus comunicaciones llegaron a otra vivienda que se encuentra alquilada desde 2017. Al tener conocimiento ahora de sus comunicaciones les transmita mi total intención de colaborar con esta Agencia y de poder cumplir totalmente con sus exigencias y con la normativa en la materia. Estoy dispuesta a la eliminación de cualquier contenido aportado en el grupo de Facebook por el denunciante, e incluso cancelar este grupo si es necesario. Para ello he intentado contactar con Facebook desde las vías posible que aporta esta red social (adjunto comunicaciones) al no permitirme directamente hacer ninguna de las dos acciones. No tenía constancia de este ejercicio de derechos. Según los anexos del requerimiento puede observar que esa comunicación fue entregada en un domicilio que no es ni ha sido nunca mi domicilio social o postal. Se trata de la empresa de un familiar, tal como se indica en el justificante de entrega de Correos: Inmobiliaria Hispania, Avda Cayetano del Toro 10, datos del receptor: C.C.C., es uno de los trabajadores. Esta comunicación nunca me fue entregada. En todo caso, está establecida desde el inicio de esta web para la recepción de ejercicios de derechos arco de cualquier usuario la cuenta: ***EMAIL.2, y siempre ha estado disponible, tal como pueden ver en el enlace que se muestra más abajo. He estado realizando una formación en creación de webs y marketing digital (Emprendimiento digital e infoproducción), motivo por el cual he ido creando distintos micrositios, que en la mayoría no han tenido ningún tipo de tráfico, acceso, ni recogida alguna de datos personales, al no estar posicionados en buscadores, ni tener duración en el tiempo, muchos de estos se han ido cambiando y posteriormente eliminando en pocos días o semanas. Mi página web principal siempre ha sido: https://www.agorawings.com/terapia-gratis en la misma, si existe un enlace a la información sobre Protección de datos: https://www.agorawings.com/politica-de-privacidadde-datos . En esta política de privacidad aparece un email en el que los usuarios pueden ejercer sus derechos en materia de protección de datos: ***EMAIL.2 . Esta web no será eliminada para que pueden verificar la información que recoge. En mi actividad formativa he usado una plataforma internacionalmente reconocida para la impartición de estos cursos que es Podía, plataforma que tiene su propia política de privacidad. He contactado con ellos y me comunican que no permite modificaciones. En todo caso mis alumnos de Podía han debido registrarse previamente en https://www.agorawings.com/terapia-gratis donde aceptan su política de privacidad. De todas formas, informo que los datos del denunciante no fueron recogidos a través de estos sitios web, por tanto, no ha sido directamente afectado por cualquier incumC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 plimiento de los mismos. El denunciante contactó conmigo en primer término a través de Facebook sin haber usado nunca los sitios web indicados En primer lugar, he procedido a la eliminación de todas las webs contenidas en la reclamación, excepto la mencionada anteriormente, y como cualquier otra provisional que pudiera existir: http://vivirsinansiedad.com , http://nessitaarauz.es , http://blog.ataquedeansiedad.com, http://ataquesdeansiedad.com y ***URL.1 CUARTO: con fecha 23/07/19, al acceder por Internet a la URL: https://www.agorawings.com/terapia-gratis , donde se comprueba que se cargan cookies en el navegador pero la pantalla que se visualiza en dicha URL no incluye ningún aviso de Si se pincha en alguno de los botones “Ir a la plataforma de cursos” o “Accede a la plataforma”, la navegación redirige a la página web https://cursos.vivirsinansiedad.com/ donde se comprueba que se cargan diferentes cookies, pero la pantalla que se visualiza en dicha URL no incluye ningún aviso de cookies de primera capa. QUINTO: Con fecha 30/10/19, se accede a la página web: www.cursos.vivirsinansiedad.com y sin realizar ninguna otra acción sobre la web, se constata la instalación de diferentes cookies en el navegador. SEXTO: Con fecha 01/11/19, En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos, y en uso de las facultades conferidas en el RGPD, se requiere información a la entidad 1&1 IONOS ESPAÑA, S.L., en el sentido de que proporcione a esta Agencia información sobre, los datos de identificación y contacto, incluyendo dirección postal, del titular del dominio vivirsinansiedad.com y subdominio cursos.vivirsinansiedad.com, así como de su correspondiente alojamiento. SÉPTIMO: Con fecha 11/11/19, la entidad 1&1 IONOS ESPAÑA, SL., remite a esta Agencia escrito informando que: En el presente caso, el dominio vivirsinansiedad.com y subdominio cursos.vivirsinansiedad.com se trata del mismo cliente, siendo Dª A.A.A., NIF:***NIF.1; ***DIRECCION.1 Email: ***EMAIL.1 OCTAVO: Con fecha 15/11/19, por parte de esta Agencia se comprueba lo siguiente aspectos sobre las webs denunciadas:

1. a)No se puede visualizar la web: blog.ataquedeansiedad.com, pues el acceso a la misma es solo con invitación previa del autor del blog
2. b)La web www.nessitaarauz.es ha sido suspendida.
3. c)La web www.agorawings.com/terapia-gratis carga en el navegador, entre otras, las siguientes cookies persistentes: _fbp, y Addevent_track_cookie. Además, al entrar en la web no se visualiza ningún aviso de primera capa sobre la existencia de cookies ni ningún enlace que haga referencia al término “cookies”.
4. d)Desde la web www.agorawings.com/terapia-gratis, se puede acceder a la web www.cursos.vivirsinansiedad.com , pinchando en el enlace “Ir a la Plataforma de Cursos”.
5. e)La web www.agorawings.com/cursos-vivirsinansiedad, está redirigida a www.agorawings.com/terapia-gratis C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 NOVENO: A la vista de los hechos denunciados y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia, consideró que la actuación de la persona reclamada no cumplía las condiciones que impone la normativa en vigor, con respecto a la utilización de cookies, en sus páginas web https://www.agorawings.com/terapia-gratis www.cursos.vivirsinansiedad.com , por lo que la Directora de la Agencia Española de Protección de Datos, con fecha 31/01/20 acordó iniciar procedimiento sancionador, en virtud de los poderes establecidos, por infracción del artículo 22.2 de la LSSI. DÉCIMO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 25/02/20, formuló, en síntesis, las siguientes alegaciones: “Los distintos sitios webs a los que hace referencia su comunicación, los creé como prácticas de una formación sobre estrategias de marketing digital e info producción (Para crear cursos por Internet y Funneles de Conversión) pero nunca llegué a usarlas de forma profesional por lo que no han generado ningún tipo de ingreso económico. Estos sitios web no estaban posicionados, ya que se encontraban en fase beta de producción y sólo podía tener acceso usuarios que tuvieran las URLs exactas en las que se encontraban, que además eran subdominios. Dentro de la formación impartida por la empresa OlsanaMind S.L., que adjunto certificado (anexo 1), nos enseñaban a usar distintas herramientas de producción y control, debiendo hacer prácticas con las plataformas: Podía https: // para creación de formaciones online y ClickFunnels umm www.clickfunnels.com para creación y gestión de funnels. Todo el contenido de los sitios webs se crea y se gestiona dentro de estas plataformas, que nos garantizaban que cumplían con todos los requisitos de la actual normativa europea en materia de Protección de datos. (Anexo 2) Me han confirmado, sobre los sitios webs que se crean con estas herramientas, que no permiten modificación de la Política de Privacidad mostrada, que es un texto que ellos incluyen, y no permiten incluir ninguna herramienta para el control de cookies. Sobre las cookies generadas en estos sitios web, no he tenido ningún acceso a esa información que pudiera recoger de los usuarios, ya que, aunque los dominios si están a mi nombre, realmente toda la gestión se realizaba mediante las plataformas que gestionan estas herramientas. Pensaba que esta formación y las webs creadas en las prácticas pudieran llegar a ser un negocio para mi actividad en el futuro, e invertí mucho tiempo y recursos, pero tras tener conocimiento de la denuncia ante esta Agenda abandoné la idea de utilizar estas herramientas. Dejé de pagar las plataformas (Anexo 3) hace algunos meses y desactivé en su panel de control los sitios web que gestionaba. Aun así, tras la recepción de las comunicaciones de este mes por parte de esta Agencia, he podido comprobar de forma sorprendente para mi, que algunos subdominios habían seguido funcionando, aunque sólo en algunos soportes (en dispositivos móviles no, pero si en navegador de
6. pc)algo totalmente ilógico, ya que ya no se estaba pagando la herramienta con la que se han generado y se gestionaban esos microsites y se habían desactivado. En cumplimiento de los requerimientos he procedido a ponerme en contacto con las plataformas y también con los prestadores de servicios de dominios y alojamientos para que quede confirmado que no queda ninguno de estos sitios web en funcionamiento. (Anexo 5) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Por tanto, ruego tengan en consideración que no ha habido ninguna intencionalidad de incumplir las normativas de referencia, que no ha habido ningún lucro económico, que se han adoptado las medidas correctivas encaminadas a poner fin a los posibles incumplimientos y que igualmente fruto de los hechos comunicados, entiendo que ni; se ha causado perjuicio alguno al denunciante o a otros posibles afectados. En todo caso, entiendo igualmente que con la supresión de los sitios webs, el derecho de los posibles afectados queda plenamente garantizado mediante la aplicación de las medidas requeridas por esta Agencia. UNDÉCIMO: Con fecha 01/04/20, se realizó la comprobación de la existencia de los sitios web denunciados, dando como resultado los siguientes mensajes: - No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.cursos.vivirsinansiedad.com. - No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.agorawings.com/terapia-gratis. - No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.nessitaarauz.es. - No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.agorawings.com/cursos-vivirsinansiedad. DUODÉCIMO: Con fecha 16/06/20, se emite propuesta de resolución con la indicación de que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento sancionador al no existir vulneración de lo estipulado en la LSSI. DECIMOTERCERO: Notificada la propuesta de resolución con fecha 30/07/20, a fecha de hoy, no consta que respuesta alguna se haya dado dentro del periodo concedido para ello por la persona reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Con fecha 15/11/19, en la comprobación que se realizó a las páginas web denunciadas, se constató lo siguiente:
7. a)Que no se puede visualizar la web: blog.ataquedeansiedad.com, pues el acceso a la misma es solo con invitación previa del autor del blog.
8. b)Que la web www.nessitaarauz.es ha sido suspendida, ya no existe.
9. c)Que la web www.agorawings.com/cursos-vivirsinansiedad www.agorawings.com/terapia-gratis. está redirigida a
10. d)Que cuando se carga la web www.agorawings.com/terapia-gratis se instalan en el navegador, entre otras, las siguientes cookies persistentes: _fbp, y Addevent_track_cookie. Además, en esta web no se visualiza ningún banner en priC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 mera capa, que informe sobre la existencia de cookies, ni ningún enlace a la “política de cookies”.
11. e)Desde la web www.agorawings.com/terapia-gratis se puede acceder a la web www.cursos.vivirsinansiedad.com , a través del enlace “Ir a la Plataforma de Cursos”. 2º.- Con fecha 01/04/20, tras recibir las alegaciones a la incoación de expediente, por parte de la persona reclamada, se ha constatado que: - no existe la IP del servidor de las páginas web denunciadas.: www.cursos.vivirsinansiedad.com ; www.agorawings.com/terapia-gratis ; www.nessitaarauz.es ; www.agorawings.com/cursos-vivirsinansiedad, FUNDAMENTOS DE DERECHO Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo segundo, de la LSSI. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, el 15/11/19, cuando se realizó la comprobación de la política de Notificada a la persona reclamada, con fecha 31/01/20, la incoación de un expediente sancionador por vulnerar lo estipulado en la legislación vigente en relación con la política de cookies, ésta alegó que los sitios webs denunciados los creó como prácticas de una formación sobre estrategias de marketing digital e info-producción, pero nunca llegó a usarlas de forma profesional. Indica además que, esos sitios web no estaban posicionados, ya que se encontraban en fase beta de producción. No obstante, en cumplimiento de los requerimientos de esta Agenda indicó que procedido a ponerme en contacto con las plataformas y también con los prestadores de servicios de dominios y alojamientos para que eliminaran los sitios web en funcionamiento. Este hecho se constató por parte de esta Agencia, el 01/04/20, al comprobar que ya no existían las IP del servidor de las páginas web denunciadas por lo que era imposible el acceso a las mismas. Después del análisis realizado de la información, los documentos aportados y las circunstancias concurrentes, no es posible identificar con claridad los elementos que perC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 mitan evidenciar una posible vulneración de la legislación vigente sobre política de Protección de Datos. RESUELVE ARCHIVAR: el procedimiento PS/00427/2019, iniciado a Dª A.A.A., por presunta infracción al artículo 22.2 de la LSSI. NOTIFICAR: el presente Acuerdo a Dª A.A.A. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es