1/5 Procedimiento Nº PS/00506/2016 RESOLUCIÓN: R/03064/2016 En el procedimiento sancionador PS/00506/2016, instruido por la Agencia Española de Protección de Datos a la entidad PACSOLUTOR S.L.Uy en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23/12/2015 se dictó Resolución R/03279/2015 en cuyo Fundamento de Derecho V se hacía constar lo siguiente: (…) Relacionado dichas exigencias con la información ofrecida por PACSOLUTOR S.L.U., en las pruebas realizadas sobre cookies en su página web se efectúan las siguientes consideraciones: En la prueba realizada en fecha de 30/03/2015 respecto de la información ofrecida y los dispositivos de almacenamiento y recuperación de datos que se instalaban, era incompleta y deficiente en tanto que: En el momento de acceder al sitio web la información no era visible ni accesible al visitante, a pesar que al acceder al sitio web instalaba cookies de terceros y persistentes, no exentas con finalidades publicitarias y de compartición de contenidos en redes sociales. En la prueba realizada en fecha de 09/12/2015 se verifico que se instalaban las además de las cookies antes citadas otras que tampoco están exentas del deber de información. Asimismo se verifico que se introdujo una primera capa o banda informativa de la que no se deducía la información relativa a la consideración de la existencia de publicitaria, de analítica web y de compartición de contenidos en redes sociales, sino que informaba de modo genérico poniendo a disposición del usuario un enlace a la política de cookies (segunda capa informativa) Por su parte, esa segunda capa accesible a través del enlace http:// A.A.A./politica_privacidad.php que contenía una definición y tipologías de cookies, la descripción de las cookies utilizadas en el sitio web y enlaces las páginas de configuración de cookies de los principales navegadores Internet Explorer, Firefox, En conclusión, de la primera banda informativa no se deduce la instalación de a partir de hábitos de navegación de los usuarios, ni de carácter publicitario. Por lo expuesto la entidad incumple lo dispuesto en el art. 22.2 de la LSSI, pues no puede entenderse que la información ofrecida en las pruebas realizadas durante la tramitación de las Actuaciones Previas de Investigación y ya durante el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 procedimiento de apercibimiento, cumplan el mandato del citado precepto. Para su adecuación a la normativa vigente es necesario informar en la primera capa o banda informativa en los términos expuestos, sin que se estime suficiente la información relativa únicamente a la existencia de cookies. Esta indicación constituye el requerimiento que se realiza en el marco del presente procedimiento de Apercibimiento. (…) SEGUNDO: En la citada Resolución se hacía constar en su parte dispositiva lo siguiente: (…) PRIMERO.- APERCIBIR (A/00248/2015) a PACSOLUTOR, S.L.U, con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). SEGUNDO.- REQUERIR a PACSOLUTOR, S.L.U, de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad A.A.A. de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto, tal como se señala en el Fundamento de Derecho V y en concreto la modificación de la información que muestra en la primera capa o banda informativa para que se deduzca el tipo y finalidad de los dispositivos instalados. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. Se comunica que se abre el expediente de investigación E/7775/2015 a fin de comprobar el cumplimiento de lo requerido en el presente Apercibimiento en el plazo otorgado para ello.(…) TERCERO: Con fecha 11 de noviembre de 2016 se acuerda iniciar procedimiento sancionador por la presunta comisión de una infracción a lo previsto en el artículo 37.1.
- n)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD, tipificada como grave en el artículo 44.3.
- i)de la citada Ley Orgánica. Dicho acuerdo fue notificado a la inculpada con fecha 8 de septiembre de 2016. CUARTO: El citado acuerdo de inicio de procedimiento sancionador se sustenta en que una vez recibida por PACSOLUTOR S.L.U. la resolución R/03279/2015 con fecha 5 de enero de 2016, “ no ha contestado el requerimiento de informar a esta AEPD sobre el cumplimiento de las medidas correctoras que le fueron solicitadas en la misma a fin de dar cumplimiento a lo previsto en el artículo 22.2 de la LSSI, no habiendo constancia, por tanto, de la subsanación de las deficiencias informativas que le fueron comunicadas.” Sin embargo, ha podido constatarse que con fecha 26 de enero de 2016, tuvo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 entrada en esta Agencia escrito de contestación al requerimiento de medidas correctoras que le fue instado a esa entidad en la resolución del Apercibimiento A/00248/2014. HECHOS PROBADOS PRIMERO: Con fecha de 23/12/2015 la Directora de la AEPD acuerda Resolución R/03279/2015 en el procedimiento de Apercibimiento de referencia A/00248/2015 seguido a la entidad PACSOLUTOR S.L.U., disponiendo que: “PRIMERO.- APERCIBIR (A/00248/2015) a PACSOLUTOR, S.L.U, con arreglo a lo dispuesto en el artículo 39 bis.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, en relación con la infracción del artículo 22. 2 de la citada norma, tipificada como leve en su artículo 38.4.g). SEGUNDO.- REQUERIR a PACSOLUTOR, S.L.U, de acuerdo con lo establecido en el citado artículo 39 bis 2, para que en el plazo de UN MES desde la notificación de la presente resolución. 2.1 CUMPLA lo previsto en el artículo 22.2 de la LSSI, para lo que se insta a dicha entidad a configurar el sitio web de su titularidad A.A.A. de modo que no instale dispositivos de almacenamiento y recuperación de datos, sin la información necesaria para dar cumplimiento al citado precepto, tal como se señala en el Fundamento de Derecho V y en concreto la modificación de la información que muestra en la primera capa o banda informativa para que se deduzca el tipo y finalidad de los dispositivos instalados. 2.2 INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando los documentos u otros medios de prueba en los que se ponga de manifiesto su cumplimiento. SEGUNDO: Notificada con fecha 5 de enero de 2016 la resolución citada en el anterior Hecho Probado, PACSOLUTOR, S.L.U. presenta dentro del plazo de un mes concedido al efecto, en concreto con fecha 26 de enero de 2016, escrito comunicando la modificación de la primera capa de cookies en la página web htp:// A.A.A. a los efectos de dar cumplimiento al requerimiento de medidas correctoras que le fue instado a esa entidad en la resolución del Apercibimiento A/00248/2015. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 El presente procedimiento sancionador trae causa de una supuesta infracción por parte de PACSOLUTOR, SLU a lo previsto en el artículo 44.3.
- i)de la LOPD, precepto que tipifica como infracción grave a dicha norma: “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” Teniendo en cuenta que por error se ha iniciado un procedimiento sancionador a dicha empresa por la mera falta de contestación al requerimiento realizado en la Resolución de Apercibimiento A/00248/2015, con independencia de si, además, había adoptado las medidas correctoras, y dado que hay constancia en esta Agencia de que PACSOLUTOR, SLU contestó, con fecha 26 de enero de 2016 , dicho requerimiento informando de unas medidas correctoras, procede acordar el archivo de las actuaciones seguidas a la mencionada mercantil en el presente procedimiento sancionador, sin perjuicio de las posibles responsabilidades en que dicha empresa hubiera podido incurrir como consecuencia de la falta de adecuación del sitio web www. A.A.A. de su titularidad a las exigencias del artículo 22.2 de la LSSI.. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00506/2016 instruido a la entidad PACSOLUTOR S.L.U. por posible infracción a lo dispuesto en el artículo 37.1.
- n)de la LOPD, sin perjuicio de otras responsabilidades que pudieran derivarse por la falta de adecuación de las medidas adoptadas a lo dispuesto en el artículo 22.2 de la LSSI . SEGUNDO: NOTIFICAR la presente resolución a PACSOLUTOR S.L.U.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es