1/8 Procedimiento Nº: PS/00432/2017 RESOLUCIÓN R/02676/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00432/2017, instruido por la Agencia Española de Protección de Datos a la entidad NO QUIERO PERDER EL TIEMPO, S.L., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/09/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad NO QUIERO PERDER EL TIEMPO, S.L., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha de 21/03/2017 tiene entrada en esta Agencia un escrito de B.B.B. el denunciante, en lo sucesivo) en el que denuncia al sitio web ***URL.1, e identifica como responsable del sitio a: NO QUIERO PERDER EL TIEMPO, S.L., por los siguientes hechos: En la citada web se hace mención a un sello de calidad por parte de la AGPD al igual que por parte de la Asociación Profesional de Consultores Protección de Datos (apcpd). Esta entidad utiliza la imagen de ambos para promocionar sus servicios. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita practican diligencias teniendo conocimiento de que: Se constata que el sitio web denunciado pertenece a NO QUIEREO PERDER EL TIEMPO, S.L. con CIF ***CIF.1 con domicilio en (C/....., 1), según consta en las diligencias de inspección. Con fecha 5 de julio de 2017 existen ficheros registrados en el RGPD a nombre de la entidad denunciada según consta en las diligencias de inspección. Con fecha 4 de julio de 2017, se constata que el sitio web denunciado recoge datos de carácter personal como consta en las diligencia de inspección. En la misma diligencia se constata que existe un Aviso legal y política de privacidad, según consta en Diligencia adjunta, con la siguiente información:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. En este caso el responsable se identifica como NO QUIERO PERDER EL TIEMPO, S.L. Con fecha 4 de julio de 2017, se constata, como se recoge en las diligencias, la promoción de servicios relacionados, entre otros, con protección de datos, (Anexo con captura de pantallas). Con fecha 4 de julio de 2017, se constata, como se recoge en las diligencias, que el sitio web denunciado utiliza DARD de terceros de carácter persistente con las siguientes finalidades: Publicitarias y de Analítica web. Consta un aviso de primera capa (se adjunta captura de pantalla) con el siguiente texto: “Utilizamos cookies para asegurar que le ofrecemos la mejor experiencia en nuestro sitio web. Si usted continúa usando este sitio asumiremos que usted es feliz con él. ACEPTAR LEER MÁS. Con fecha 2 de agosto de 2017, se recibe escrito de la entidad NO QUIERO PERDER EL TIEMPO, S.L., informando sobre el apartado que aparece en su AVISO LEGAL, sobre Envío de información publicitaria, manifestando que: a. La entidad no ha procedido ni tiene previsto proceder, al envío de información publicitaria dirigida a los usuarios de los servicios ofertados en su web, ni a sus clientes, hecho por el cual no ha adoptado ningún mecanismo para dar cumplimiento a los dispuesto en el artículo 15 del RD 1720/2007, de 21 de diciembre. b. No obstante, cabe destacar que esta parte única exclusivamente ha enviado información comercial sobre sus servicios, con carácter previo a la formalización contractual, previa petición de solicitud de los mismos por parte de los usuarios de la web titularidad de la entidad. c. Además, para no inducir a ningún tipo de confusión a cualquier usuario que pueda acceder a la web, se ha procedido a suprimir de su Aviso Legal, el apartado “Envío de información publicitaria”. Con fecha de 9 de agosto se accede al sitio web verificándose la descarga e instalación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 de DARD de tercera parte con finalidad de analítica web y publicitarias con independencia de realizar navegación por la página o hacer clic en el botón aceptar establecido al efecto. En la misma fecha se verifica que la política de privacidad se mantiene en las mismas condiciones que las referidas en el escrito de la entidad de 8/08/2017. Con fecha de 9 de agosto, se verifica la existencia de formularios de recogida de datos de carácter personal en el que para crear un registro de prueba de 20 días, es necesario aceptar la política de privacidad sin permitir la exclusión de la cláusula relativa al envío de información publicitaria. En la misma fecha se verifica que en el enlace ***URL.2 al que se re direcciona la navegación para formalizar el registro, se recogen datos de carácter personal resultando la casilla pre marcada que determina la aceptación de la política de privacidad. TERCERO: De las actuaciones practicadas y sin perjuicio de lo que se derive de la instrucción del presente expediente, se desprende que la página web ***URL.1 utiliza DARD sin el consentimiento previo e informado del usuario. Asimismo se verifica la recogida de datos personales sin información que cumpla lo dispuesto en el art. 5 de la LOPD en relación con el art. 15 del RDLOPD. FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer por parte de NO QUIERO PERDER EL TIEMPO, S.L. la infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” en relación con lo dispuesto en el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. ( RDLOPD en lo sucesivo) que bajo la rúbrica “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” señala lo siguiente: Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. Tipificada como leve en el artículo 44.2
- c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”, Pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la misma Ley Orgánica. II De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, estimándose como circunstancias agravantes las previstas en los apartados
- c)y
- j)en cuanto a la vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, y Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora, en relación con el objeto profesional de su negocio dirigido precisamente al asesoramiento sobre el cumplimiento de la normativa de protección de datos, lo que aumenta el reproche culpabilístico, determinándose la cuantía de la sanción por vulneración del art. 5 de la LOPD, en la cuantía de 5.000 euros. III Los hechos expuestos podrían suponer la comisión, por parte de NO QUIERO PERDER EL TIEMPO, S.L.de una infracción del artículo 22.2 de la LSSI que dispone: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 La citada infracción se encuentra tipificada como leve en el artículo 38.4.
- g)de dicha norma, que califica como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.” pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. IV De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer, por la presunta infracción del artículo 22.2 de la LSSI, de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI, el previsto en el apartado
- a)la existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad acuerdo con la Sentencia de la Audiencia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, en la medida que el procedimiento de obtención del consentimiento e información respecto del uso de DARD es responsabilidad de la entidad denunciada, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI, determinándose en la cuantía de 3.000 euros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, 1. INICIAR PROCEDIMIENTO SANCIONADOR a NO QUIERO PERDER EL TIEMPO, S.L.. con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 5 de la LOPD, tipificada como leve en el artículo 44.2
- b)de la citada Ley Orgánica, y por la presunta infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4
- g)de la citada ley. 2. NOMBRAR como Instructor a D. A.A.A. y como Secretaria a Dña. C.C.C. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre y art. 127 letra
- b)del RLOPD, la sanción que pudiera corresponder sería de 8.000 euros, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 5. NOTIFICAR el presente Acuerdo a NO QUIERO PERDER EL TIEMPO, S.L., indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
- f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.600 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 6.400 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 1.600 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 6.400 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 4.800 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente ( 6.400 Euros o 4.800 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00432/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 De conformidad con lo establecido en los artículos 37.
- g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: En fecha 27/09/2017 tuvo entrada en esta Agencia escrito de la entidad NO QUIERO PERDER EL TIEMPO, S.L., en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. TERCERO: En fecha 27/09/2017 la entidad NO QUIERO PERDER EL TIEMPO, S.L. ha procedido al pago de la sanción en la cuantía de 4.800 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00432/2017, de SEGUNDO: NOTIFICAR la presente resolución a NO QUIERO PERDER EL TIEMPO, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es