PS-00428-2019

1/6  Procedimiento Nº: PS/00428/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00428/2019, instruido por la Agencia Española de Protección de Datos a Dª A.A.A., titular de los sititos webs: www.cursos.vivirsinansiedad.com ; www.agorawings.com/terapia-gratis blog.ataquedeansiedad.com; www.nessitaarauz.es y www.agorawings.com/cursos-vivirsinansiedad , (en adelante, “la persona reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 31/01/19, tuvo entrada en esta Agencia escrito, presentado por D. B.B.B. (en adelante, “el reclamante”), en el que exponía, entre otras, lo siguiente: “En relación a la Resolución dictada por La AEPD con Nº R/01140/2018, la cual he recibido en fecha 12/12/2018, informar de lo siguiente:1- Se acuerda apercibir (A/00104/2018) a la denunciada. 2- Requerir a la denunciada para que cumpla lo previsto en el art 22.2 de la LSSI y con la obligación de información prevista en el art 13 del RGPD.3-Informe a la AEPD del cumplimiento de lo requerido. Tras la notificación de las obligaciones por parte de la AEPD, de fecha 29/06/2018, la denunciada cambió el nombre del dominio y modificó la estructura y contenido de sus webs, pero sin cumplir con lo establecido y ya informada LSSI y RGDP. Pues bien, como podrán comprobar en la página web www.nessitaarauz.es, la denunciada no ha cumplido con el requerimiento de la AEPD. Sigue sin informar sobre las cookies, no cumple con el Art. 22.2 de la LSSI ni con el Art. 13 del RGPD. No dispone en su formulario de contacto de la obligación de aceptar la política de privacidad ni aviso legal. Tan solo usa un cuadradito de no soy un robot con un recaptcha. Tiene un enlace de privacidad y condiciones, que dirigen únicamente a google y no a su propia política de privacidad y aviso legal. Igualmente, en la web analizada por la resolución mencionada, blog.ataquedeansiedad.com, tan solo informa del aviso de cookies, que aunque no las aceptes, se instalan igualmente. En dicha página, dispone de una suscripción, en la cual no informa de la finalidad de los datos recogidos ni quien es el propietario ni receptor de dichos datos recogidos. Pese a haber sido notificada de las obligaciones, haber sido apercibida y requerida para que cumpla con las obligaciones, no solo no ha cambiado nada, sino que tampoco ha cumplido con lo requerido por la AEPD, de informar a la AEPD en el plazo de un mes de cumplir con lo requerido. Pero esto no es todo, ha abierto una nueva web www.cursos.vivirsinansiedad.com/subscripciones , en la cual no cumple nada de lo exigido por Ley. En esta nueva web, la dirige a realizar cobros online y la política de privacidad y aviso legal, los dirige a un prestador de servicios www.podia.com/terms , cuando siendo ella titular de esa web, debería informar tanto del aviso legal y privacidad del prestador, como el del usuario titular de la web, en este caso, la denunciada. No dispone de aviso de cookies en esta web”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fechas 11/03/19 y 12/05/19, se dirigen sendos requerimientos informativos a la persona reclamada. TERCERO: Con fecha 12/07/19, la persona reclamada presenta escrito, en esta Agencia, aportando, entre otras, la siguiente información: “Informar que no había tenido conocimiento de las comunicaciones anteriores remitidas por esta Agencia hasta la fecha, incluida el apercibimiento referido (AT/00104/2018) con las instrucciones exigidas para el cumplimiento normativo en los sitios web que se indican, así como la remisión del informe. Posteriormente se explica con más detalle los motivos por los cuales durante las fechas comprendidas entre 01/05/18 y 30/04/19 no he residido en el que había sido mi domicilio habitual hasta entonces y que además sus comunicaciones llegaron a otra vivienda que se encuentra alquilada desde

1. Al tener conocimiento ahora de sus comunicaciones les transmita mi total intención de colaborar con esta Agencia y de poder cumplir totalmente con sus exigencias y con la normativa en la materia. Estoy dispuesta a la eliminación de cualquier contenido aportado en el grupo de Facebook por el denunciante, e incluso cancelar este grupo si es necesario. Para ello he intentado contactar con Facebook desde las vías posible que aporta esta red social (adjunto comunicaciones) al no permitirme directamente hacer ninguna de las dos acciones. No tenía constancia de este ejercicio de derechos. Según los anexos del requerimiento puede observar que esa comunicación fue entregada en un domicilio que no es ni ha sido nunca mi domicilio social o postal. Se trata de la empresa de un familiar, tal como se indica en el justificante de entrega de Correos: Inmobiliaria Hispania, Avda Cayetano del Toro 10, datos del receptor: C.C.C., es uno de los trabajadores. Esta comunicación nunca me fue entregada. En todo caso, está establecida desde el inicio de esta web para la recepción de ejercicios de derechos arco de cualquier usuario la cuenta: ***EMAIL.2, y siempre ha estado disponible, tal como pueden ver en el enlace que se muestra más abajo. He estado realizando una formación en creación de webs y marketing digital (Emprendimiento digital e infoproducción), motivo por el cual he ido creando distintos micrositios, que en la mayoría no han tenido ningún tipo de tráfico, acceso, ni recogida alguna de datos personales, al no estar posicionados en buscadores, ni tener duración en el tiempo, muchos de estos se han ido cambiando y posteriormente eliminando en pocos días o semanas. Mi página web principal siempre ha sido: https://www.agorawings.com/terapia-gratis en la misma, si existe un enlace a la información sobre Protección de datos: https://www.agorawings.com/politica-deprivacidad-de-datos . En esta política de privacidad aparece un email en el que los usuarios pueden ejercer sus derechos en materia de protección de datos: ***EMAIL.
2. Esta web no será eliminada para que pueden verificar la información que recoge. En mi actividad formativa he usado una plataforma internacionalmente reconocida para la impartición de estos cursos que es Podía, plataforma que tiene su propia política de privacidad. He contactado con ellos y me comunican que no permite modificaciones. En todo caso mis alumnos de Podía han debido registrarse previamente en https://www.agorawings.com/terapia-gratis donde aceptan su política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 De todas formas, informo que los datos del denunciante no fueron recogidos a través de estos sitios web, por tanto, no ha sido directamente afectado por cualquier incumplimiento de los mismos. El denunciante contactó conmigo en primer término a través de Facebook sin haber usado nunca los sitios web indicados CUARTO: Con fecha 31/10/19, en la web www.cursos.vivirsinansiedad.com, se comprueba la existencia de una política de privacidad accesible desde un enlace con el nombre “Privacidad” con manifestaciones en lengua inglesa. Además se comprueba que la web www.nessitaarauz.es ha sido suspendida, no pudiendo acceder a la misma y que la web www.agorawings.com/cursos-vivirsinansiedad, está redirigida a la página de: www.agorawings.com/terapia-gratis y que ésta redirige a la web www.cursos.vivirsinansiedad.com, a través del link, “Ir a la Plataforma de Cursos”. QUINTO: Con fecha 01/11/19, En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos, y en uso de las facultades conferidas en el RGPD, se requiere información a la entidad 1&1 IONOS ESPAÑA, S.L., en el sentido de que proporcione a esta Agencia información sobre, los datos de identificación y contacto, incluyendo dirección postal, del titular del dominio vivirsinansiedad.com y subdominio cursos.vivirsinansiedad.com, así como de su correspondiente alojamiento. SEXTO: Con fecha 11/11/19, la entidad 1&1 IONOS ESPAÑA, SL., remite a esta Agencia escrito informando que: En el presente caso, el dominio vivirsinansiedad.com y subdominio cursos.vivirsinansiedad.com se trata del mismo cliente, siendo Dª A.A.A., NIF:***NIF.1; ***DIRECCION.1 Email: ***EMAIL.1 SÉPTIMO: A la vista de los hechos denunciados, de la documentación aportada por las partes y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que la actuación de la entidad reclamada no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador. Así, con fecha 31/01/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la persona reclamada por infracción del artículo 13 del RGPD. OCTAVO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 25/02/20, formuló, en síntesis, las siguientes alegaciones: “Los distintos sitios webs a los que hace referencia su comunicación, los creé como prácticas de una formación sobre estrategias de marketing digital e info producción (Para crear cursos por Internet y Funneles de Conversión) pero nunca llegué a usarlas de forma profesional por lo que no han generado ningún tipo de ingreso económico. Estos sitios web no estaban posicionados, ya que se encontraban en fase beta de producción y sólo podía tener acceso usuarios que tuvieran las URLs exactas en las que se encontraban, que además eran subdominios. Dentro de la formación impartida por la empresa OlsanaMind S.L., que adjunto certificado (anexo 1), nos enseñaban a usar distintas herramientas de producción y control, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 debiendo hacer prácticas con las plataformas: Podía https: // para creación de formaciones online y ClickFunnels umm www.clickfunnels.com para creación y gestión de funnels. Todo el contenido de los sitios webs se crea y se gestiona dentro de estas plataformas, que nos garantizaban que cumplían con todos los requisitos de la actual normativa europea en materia de Protección de datos. (Anexo 2). De hecho me han confirmado, sobre los sitios webs que se crean con estas herramientas, que no permiten modificación de la Política de Privacidad mostrada, que es un texto que ellos incluyen, y no permiten incluir ninguna herramienta para el control de cookies. Sobre las cookies generadas en estos sitios web, no he tenido ningún acceso a esa información que pudiera recoger de los usuarios, ya que, aunque los dominios si están a mi nombre, realmente toda la gestión se realizaba mediante las plataformas que gestionan estas herramientas. Pensaba que esta formación y las webs creadas en las prácticas pudieran llegar a ser un negocio para mi actividad en el futuro, e invertí mucho tiempo y recursos, pero tras tener conocimiento de la denuncia ante esta Agenda abandoné la idea de utilizar estas herramientas. Dejé de pagar las plataformas (Anexo 3) hace algunos meses y desactivé en su panel de control los sitios web que gestionaba. Aun así, tras la recepción de las comunicaciones de este mes por parte de esta Agencia, he podido comprobar de forma sorprendente para mi, que algunos subdominios habían seguido funcionando, aunque sólo en algunos soportes (en dispositivos móviles no, pero si en navegador de pc) algo totalmente ilógico, ya que ya no se estaba pagando la herramienta con la que se han generado y se gestionaban esos microsites y se habían desactivado. En cumplimiento de los requerimientos de esta Agenda he procedido a ponerme en contacto con las plataformas y también con los prestadores de servicios de dominios y alojamientos para que quede confirmado que no queda ninguno de estos sitios web en funcionamiento. (Anexo 5) Por tanto, ruego tengan en consideración que no ha habido ninguna intencionalidad de incumplir las normativas de referencia, que no ha habido ningún lucro económico, que se han adoptado las medidas correctivas encaminadas a poner fin a los posibles incumplimientos y que igualmente fruto de los hechos comunicados, entiendo que ni; se ha causado perjuicio alguno al denunciante o a otros posibles afectados. En todo caso, entiendo igualmente que con la supresión de los sitios webs, el derecho de los posibles afectados queda plenamente garantizado mediante la aplicación de las medidas requeridas por esta Agencia. NOVENO: Con fecha 01/04/20, se realizó la comprobación de la existencia de los sitios web denunciados, dando como resultado los siguientes mensajes: - No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.cursos.vivirsinansiedad.com. No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.agorawings.com/terapia-gratis. No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.nessitaarauz.es . No se puede acceder a este sitio web. No se ha podido encontrar la dirección IP del servidor de www.agorawings.com/cursos-vivirsinansiedad . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 DÉCIMO: Con fecha 16/06/20, se emite propuesta de resolución con la indicación de que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento sancionador al no existir vulneración de lo estipulado en la LSSI. DECIMOPRIMERO: Notificada la propuesta de resolución con fecha 30/07/20, a fecha de hoy, no consta que respuesta alguna se haya dado dentro del periodo concedido para ello por la persona reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Con fecha 15/11/19, en la comprobación que se realizó a las páginas web denunciadas, se constató lo siguiente: a) Que no se puede visualizar la web: blog.ataquedeansiedad.com, pues el acceso a la misma es solo con invitación previa del autor del blog. b) Que la web www.nessitaarauz.es ha sido suspendida, ya no existe. c) Que la web www.agorawings.com/cursos-vivirsinansiedad www.agorawings.com/terapia-gratis. está redirigida a d) Desde la web www.agorawings.com/terapia-gratis se puede acceder a la web www.cursos.vivirsinansiedad.com , a través del enlace “Ir a la Plataforma de Cursos”. 2º.- Con fecha 01/04/20, tras recibir las alegaciones a la incoación de expediente, por parte de la persona reclamada, se ha constatado que: - no existe la IP del servidor de las páginas web denunciadas.: www.cursos.vivirsinansiedad.com ; www.agorawings.com/terapia-gratis ; www.nessitaarauz.es ; www.agorawings.com/cursos-vivirsinansiedad . FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.” II En el presente caso, con fecha 31/10/19, se comprobó, por parte de esta Agencia que, en las webs denunciadas existía un formulario que podría recoge datos personales de los clientes, pero la política de privacidad se encontraba redactada en lengua inglesa. Notificada a la persona reclamada, titular de las páginas webs, la incoación de un expediente sancionador por vulnerar lo estipulado en la legislación vigente en relación con la política de privacidad, ésta alegó que los sitios webs denunciados los creó como prácticas de una formación sobre estrategias de marketing digital e info producción, pero nunca llegó a usarlas de forma profesional. Indica además que, esos sitios web no estaban posicionados, ya que se encontraban en fase beta de producción. No obstante, en cumplimiento de los requerimientos de esta Agenda procedido a ponerme en contacto con las plataformas y también con los prestadores de servicios de dominios y alojamientos para que eliminaran los sitios web en funcionamiento. Con fecha 01/04/20, por parte de esta Agencia, se constató que ya no existían las IP del servidor de las páginas web denunciadas. Por tanto, en el presente caso, después del análisis realizado de la información, los documentos aportados y las circunstancias concurrentes, no es posible evidenciar una posible vulneración de la legislación vigente sobre política de privacidad al no existir ya las páginas webs denunciadas, por lo que a la vista de lo expuesto se procede a emitir la siguiente: RESUELVE ARCHIVAR: el procedimiento PS/00428/2019, iniciado a Dª A.A.A., por presunta infracción al artículo 13 del RGPD. NOTIFICAR: el presente Acuerdo a Dª A.A.A. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es