PS-00508-2017

1/17 Procedimiento Nº: PS/00508/2017 RESOLUCIÓN R/03093/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00508/2017, instruido por la Agencia Española de Protección de Datos a la entidad EDITORIAL ECOPRENSA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 25/10/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad EDITORIAL ECOPRENSA, S.A., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha 10 de mayo de 2017 tuvo entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que denuncia a EDITORIAL ECOPRENSA, S.A. (en lo sucesivo el denunciado) por los siguientes hechos:

1. a)EDITORIAL ECOPRENSA, S.A. (ECOPRENSA), responsable del sitio web ***URL.1, mantiene una herramienta denominada Ecotrader que ofrece información exclusiva sobre el mercado financiero. El fichero en el que incluyen los datos de los usuarios de Ecotrader no está registrado en el Registro General de Protección de Datos.
2. b)En la misma página de suscripción al servicio Ecotrader se proporciona información respecto a la recogida y uso de los datos personales de los usuarios y un enlace a la política de privacidad. La información de los dos textos es diferente y en uno de ellos se indica que no hay cesiones de datos mientras que otro sí las hay.
3. c)Los datos almacenados en relación al servicio Ecotrader y a “El Economista” con almacenados sin control y pueden ser accedidos por otras empresas con el fin de buscar posibles clientes.
4. d)Existe una cesión de datos presuntamente irregular de Ecotrader a BITACORA SL, que utiliza los datos de la herramienta de ECOPRENSA para ofrecer sus servicios y productos.
5. e)El sitio web no facilita información sobre la existencia de cookies en su página web antes de la instalación de las mismas. Aunque tiene una política de cookies, no proporciona información en una primera capa ni permite aceptarlas o rechazarlas antes de su instalación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17
6. f)Los alumnos de los cursos pueden ver los datos de otros alumnos. Que según el denunciante tuvieron lugar desde la segunda mitad de 2014 hasta ahora. Y, entre otra, anexa la siguiente documentación:  Correos electrónicos recibidos por clientes suscritos a Ecotrader.  Transcripciones de unas grabaciones que el denunciante dice aportar, pero que no consta en la denuncia.  Listado de usuarios de un curso impartido a través de la plataforma formativa de Ecotrader obtenida por una usuario de la misma. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de lo siguiente: A. Falta de inscripción del fichero de usuarios de Ecotrader 1. Según la información proporcionada por ECOPRENSA en el punto 1 de su primer escrito de respuesta1, a través de la página web ***URL.1 la entidad presta distintos servicios entre los que se encuentran: • Ecotrader (de pago) • elMonitor (de pago) • PDF y hemeroteca (de pago) • Listas (no requiere pago) • Boletines (no requiere pago) • Carteras (no requiere pago) • Formación (de pago) Ecotrader es un servicio que ofrece información exclusiva sobre el mercado financiero en tiempo real y pone a disposición de sus usuarios un conjunto de herramientas financieras. Ecotrader es un servicio de suscripción de pago que requiere que el usuario esté registrado a través del sitio web ***URL.1. 2. Según la información proporcionada por ECOPRENSA en el punto 2.II de su primer escrito de respuesta, el fichero denominado USUARIOS WEB, con código ***CODIGO.1, contiene los datos de los usuarios de los servicios citados en el punto 1. Tal y como figura en su correspondiente diligencia, el citado fichero figura inscrito en el Registro General de Protección de Datos desde el 06/09/2006, tiene como finalidades declaradas la gestión de usuarios de la web, la gestión contable y administrativa, el envío de información publicitaria, la prospección comercial y el análisis de perfiles. 1 Registrado con número de entrada ***REGISTRO.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 B. Información facilitada a los usuarios de Ecotrader 3. Según consta en su correspondiente diligencia, al acceder al formulario de suscripción del servicio Ecotrader el 13/06/2017 se comprueba que para registrarse debe marcarse una casilla de aceptación de la política de privacidad del sitio web a la que se puede acceder mediante un enlace junto a la casilla. Bajo la casilla en cuestión, se encuentra el siguiente texto: “De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos de que sus datos serán incorporados a un fichero propiedad de EDITORIAL ECOPRENSA, S.A. (en adelante, El Economista) con la finalidad de gestionar los servicios personalizados. Sus datos no serán comunicados a terceros. Usted puede ejercitar sus derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito a El Economista. ***DIRECCION.1” Como puede observarse, la única finalidad sobre la que se informa es la gestión de los servicios personalizados. 4. El enlace citado en el punto anterior lleva a la página de política de privacidad del sitio web, que a dicha fecha presenta las siguientes diferencias. 4.1. Se incluye un listado con las finalidades para las que se tratarán los datos personales que, además de la “Gestión y control de la relación contractual adquirida con el usuario” incluye el envío de comunicaciones promocionales por cualquier medio facilitado sobre productos propios o de terceros. 4.2. A pesar de que en el formulario de suscripción se informa de que no se cederán datos a terceros, en la política de privacidad se informa de que “Igualmente, el usuario consiente la cesión de los datos de carácter personal que faciliten a empresas del Grupo ECOPRENSA, cuya composición puede ser consultada en el apartado de la página con la finalidad de que dichas entidades puedan realizar acciones publicitarias y comunicaciones comerciales…” 5. Consultada ECOPRENSA sobre las diferencias entre la información facilitada en el formulario y en la política de privacidad, la entidad manifiesta en el punto 3 de su primer escrito de respuesta que:  La información incluida en la página de registro pretende informar de forma resumida y previa a la aceptación sobre “…recogida y tratamiento de sus datos de carácter personal, sobre las finalidades de la eventual recogida y tratamiento, la normativa que les ampara y los derechos principales que les asisten.”.  La versión que prevalece es la de la política de privacidad.  Por el momento es ECOPRENSA quien realiza el tratamiento de los datos y no se producen cesiones a empresas del grupo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17  Para prevenir una posible confusión, se ha procedido a la corrección de la política de privacidad, de cuyo nuevo texto aportan copia como documento 1. Se comprueba que la versión accesible a 28/08/2017 de la política de privacidad del sitio web no incluye el párrafo citado en el punto 4.2. 6. De la información proporcionada por ECOPRENSA en el punto 4 de su respuesta y la incluida en su sitio web2, se desprende que actualmente el Grupo Ecoprensa está compuesto por una única sociedad, que es ECOPRENSA. C. Control sobre los datos 7. El denunciante manifiesta que los datos de Ecotrader y El Economista son almacenados sin ningún control de forma que otras empresas pueden acceder fácilmente a esos datos para conseguir información sobre posibles clientes. 8. Ecotrader es un servicio de suscripción de pago por lo que es necesario que exista algún tipo de control de acceso. Por otro lado, el denunciante no aporta evidencias que soporten la afirmación de que existan terceros distintos de ECOPRENSA que puedan acceder o hayan accedido a los datos de los suscriptores del servicio. D. Cesión de datos a BITÁCORA CAPITAL SL 9. El denunciante manifiesta que BITÁCORA CAPITAL SL, en adelante BITÁCORA, y su propietario I.I.I. utilizan abiertamente los datos que se consiguen por Ecotrader y El Economista con el pleno consentimiento de ECOPRENSA. 10. Según los datos obtenidos del registro mercantil central, BITÁCORA es una sociedad que comenzó sus operaciones el 05/09/2014 con carácter unipersonal siendo en ese momento su socio y administrador único Juan Luis Cabrero Fabregat (J.J.J.) El 12/05/2015 la sociedad pierde su carácter de unipersonal y nombra a I.I.I. (CIQ) como administrador único. 11. El 07/10/2014 el diario “El Economista” publica la contratación de varias personas como refuerzo de su plantilla. Entre dichas personas se cita a J.J.J. “director de estrategia de Ecotrader desde el pasado mes de julio” y a I.I.I. “es desde hoy el nuevo responsable comercial de Ecotrader, y se encargará de las relaciones con los suscriptores.”. 12. Como prueba de la presunta infracción, el denunciante aporta copia de tres correos electrónicos y la trascripción de varias grabaciones con conversaciones: Los correos electrónicos son recibidos el 14/08/2014 y el 01/09/2014, antes de la fecha que consta en el registro mercantil como inicio de operaciones de BITÁCORA, el 05/09/2014. 12.1.El documento 2 acredita que la titular de la cuenta ***EMAIL.1 era suscriptora de Ecotrader en el momento de los hechos. 2 Página “EL GRUPO” ***URL.2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 12.2.El correo electrónico contenido en el documento 1 contiene información promocional de ECOPRENSA y de servicios promocionados por CIQ que firma como socio de ***URL.3. El denunciante afirma que el envío del correo electrónico se produce como resultado del acceso por parte de BITÁCORA a los datos de ECOPRENSA pero no aporta evidencias que permitan afirmar que la titular de la cuenta ***EMAIL.1 no había prestado su consentimiento bien a CIQ, bien a BITÁCORA. 12.3.El correo electrónico contenido en el documento 3 es el reenvío al denunciante por parte de F.F.F. de un correo electrónico recibido el 01/09/2014 a las 7:55 en la cuenta “I.I.I” con origen en la cuenta ***EMAIL.2 y asunto “Resumen semanal”. F.F.F. podría haber figurado en el campo de destinatarios con copia oculta pero no se dispone de evidencias que permitan afirmar sin lugar a dudas ese era el caso. Tampoco en este caso se dispone de evidencias que permitan afirmar que F.F.F. no había prestado su consentimiento bien a CIQ, bien a BITÁCORA. 12.4.Las transcripciones aportadas no vienen acompañadas de las grabaciones de audio. En el sitio web ***URL.4 el denunciante publica información sobre el conflicto que mantiene con ECOPRENSA, J.J.J. y I.I.I. Algunas de las publicaciones contienen enlaces a grabaciones de audio. En la URL ***URL.5 se localizan 21 grabaciones de audio. Entre las grabaciones localizan dos denominadas "Conversacion 2bis" y "ELGNOMO5" en las que se escucha el texto trascrito. Las grabaciones hablan de acceso a datos de usuarios registrados, pero no queda claro que los dichos accesos sean a los datos de los usuarios de Ecotrader o El Economista ni que dicho acceso vaya a ser realizado sin el consentimiento de los titulares de los datos. 13. En el punto 7 de su primer escrito de respuesta ECOPRENSA manifiesta que:  No ha producido cesión de datos de carácter personal a BITÁCORA.  No mantiene ni ha mantenido relación mercantil o comercial alguna con BITÁCORA.  No se ha autorizado a proveedor alguno la subcontratación de servicios que permita el tratamiento de datos de los que ECOPRENSA es responsable a BITÁCORA. E. Cookies Funcionamiento de los sitios web y las cookies3 14. Un sitio web está compuesto por una o más páginas web asociadas a un dominio determinado (en este caso en el domino eleconomista.
7. es)alojadas en un servidor web 3 En aras de facilitar la comprensión del informe se ha optado por simplificar la descripción omitiendo aquellos detalles que no se han considerado relevantes para el caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 vinculado a dicho dominio. 15. A pesar de que se muestra como un único elemento visual, una página web está compuesta por numerosos elementos o recursos de los cuales sólo algunos son visibles. Para poder visualizar una página web lo más común es tener que hacer numerosas solicitudes a uno o más servidores web que, una vez contestadas, permitirán mostrar la página. Para cargar la página principal de ***URL.1 se realizan más de 60 solicitudes a servidores de Internet. Un navegador es un tipo de programa que permite a un ordenador comunicarse con un servidor web, gestionar todo el proceso de solicitudes y respuestas que debe de llevarse a cabo para poder obtener los recursos que componen la página web y finalmente disponerlos de forma que éstos puedan ser visualizados. En la composición de una página web pueden utilizarse recursos alojados en el mismo dominio que aloja la página solicitada o en dominios distintos, tal y como se observa en la siguiente imagen. ***IMAGEN.1 En la parte inferior de la imagen, en la que se listan parte de las solicitudes realizadas por el navegador se muestra como al acceder al sitio web ***URL.1 algunos de los recursos que componen la página web están alojados en el servidor web asociado al dominio eleconomista.es pero otros, como el recurso enmarcado en la imagen, se solicita a un dominio distinto, al dominio apis.google.com. Al tratar de acceder a una página web el navegador solicita primero el recurso que contiene la estructura HTML y los textos de la página web. Al recibir dicho recurso lo analiza para ver si contiene referencias a otros recursos que deban ser solicitados y descargados (imágenes, hojas de estilo, ficheros JavaScript, etc…) y si es necesario, solicita dichos recursos. 16. Las cookies son un tipo de dispositivo de almacenamiento y recuperación de datos (DARD) en equipos terminales. Las cookies pueden ser enviadas al solicitar a un recurso y descargadas cuando el servidor web contesta a la solicitud. Las cookies tienen algunas características que son relevantes para el análisis de los hechos denunciados:  Tienen un nombre y están vinculadas a un dominio.  Sólo el responsable de un dominio puede gestionar cookies4 asociadas a ese dominio.  Las cookies que se encuentran almacenadas en un equipo terminal y están vinculadas a un dominio son enviadas automáticamente cada vez que se solicita un 4 añadirlas, eliminarlas o modificar el valor de la cookie o sus atributos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 recurso alojado en ese dominio. No importa si la página que se está visitando es la de ese dominio o no, sino si la página visitada contiene algún recurso obtenido del dominio al que está vinculado una cookie. Por ejemplo, si nuestro navegador ha descargado previamente una cookie asociada al dominio miempresa.com, al visitar la página ***URL.6, que contiene una imagen publicitaria alojada en los servidores de miempresa.com, el navegador enviará automáticamente junto con la petición del recurso imagen la cookie almacenada. Pruebas de acceso 17. El 29/08/2017 se realizaron pruebas de acceso a la página principal del sitio web ***URL.1 utilizando dos navegadores, Mozilla Firefox y Google Chrome. En ambos casos se constataron los siguientes hechos: a. La página dispone de un aviso de cookies de primera capa con el texto “Utilizamos publicidad personalizada a través del análisis de su navegación. Si continúa navegando acepta su uso. Más información y cambio de configuración” ***IMAGEN.2 b. El texto en negrita contiene un enlace a la página de política de cookies, que también es accesible desde un enlace al pie de la página principal con el texto “Política de cookies”. ***IMAGEN.3 c. Al terminar la carga de la página se constata que en el equipo terminal figuran más de 100 cookies (104 en el acceso con Google Chrome y 152 en el acceso con Mozilla Firefox) asociadas al dominios eleconomista.es y a otros dominios. El ANEXO 1 incorporado a las actuaciones previas de inspección, contiene el listado completo de las cookies descargadas. d. Entre las cookies descargadas en las pruebas figuran algunas vinculadas a servicios de analítica web, tal y como se informa en su página de política de cookies (“Comscore, Omniture, Analytics y similares”). Las cookies descargadas están asociadas a los servicios Google Analytics, ScoreCard Research (Comscore) y Adobe Analytics (antes Omniture). e. Algunas de las cookies descargadas tienen como finalidades la de publicitaria y la de seguimiento y perfilado de visitantes. A continuación se muestra una lista no exhaustiva de las cookies descargadas con este tipo de finalidades: Servicio AppNexus5 Dominio nombre Caducidad .adnxs.com anj Persistente .adnxs.com icu Persistente 5 ***URL.7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 MediaMath 6 DoubleClick 7 .adnxs.com sess Sesión .adnxs.com uuid2 Persistente .mathtag.com HRL8 Persistente .mathtag.com mt_misc .mathtag.com uuid Persistente Persistente .mathtag.com uuidc Persistente .***URL.16t IDE Google8 .google.com NID Persistente Persistente Amazon 9 .amazon-adsystem.com ad-id Persistente .amazon-adsystem.com ad-privacy Persistente Durante las pruebas de acceso se obtienen dos ficheros en formato HAR 10 con información sobre la interacción entre el navegador y el servidor web. Para el análisis de los ficheros se utilizan las herramientas HAR Viewer11 y Google Apps HAR Analyzer12. Cronología de la carga de la página principal 18. El hecho denunciado, según consta en los antecedentes es que el sitio web ***URL.1 no facilita información sobre la existencia de cookies en su página web antes de la instalación de las mismas y que tampoco permite aceptar o rechazar su uso antes de su instalación. Interesa por lo tanto conocer el momento en el que se muestra la información de sobre el uso de cookies en la página, ya que es la que permitiría al usuario prestar un consentimiento informado, así como el momento en el que se descargan las cookies que requieren de un consentimiento informado. Para ello se ha buscado en los ficheros HAR citados en el punto anterior los eventos relacionados con la descarga o el envío de las cookies listadas en el punto 17.e. Como puede observarse en la siguiente imagen, la carga de la página en la prueba realizada con Google Chrome no termina hasta transcurridos 10,8 segundos. ***IMAGEN.4 Al acceder a los ficheros HAR se comprueba que el texto del aviso informativo sobre el uso de cookies no se descarga junto con el fichero HTML en la primera de las solicitudes al servidor (GET ***URL.1), sino que, como puede observarse en la siguiente captura, se produce en la tercera solicitud (GET cookiesdirective.v1.js). La descarga del 6 ***URL.8 7 ***URL.9 8 ***URL.10 9 ***URL.11 10 HAR son las siglas de HTTP Archive, un tipo de fichero que muestra las interacciones entre el navegador y un sitio web. ***URL.12 11 ***URL.13 12 ***URL.14 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 fichero requerido en esa tercera solicitud finaliza en el caso de la prueba con Google Aunque el navegador disponga del texto con la información sobre el uso de cookies, la visualización de la página podría demorarse algo en el tiempo debido a que el navegador priorice otras tareas (como la gestión del resto de solicitudes) a la visualización. No es posible mostrar la información sobre el uso de cookies antes de que hayan transcurrido 101 milisegundos desde la solicitud de la página web. ***IMAGEN.5 En la siguiente tabla se muestra el tiempo transcurrido en segundos entre la descarga del texto del aviso sobre cookies y la descarga de cada una de las cookies. Servicio AppNexus Dominio Nombre .adnxs.com anj 3,809 9,802 .adnxs.com icu 3,809 9,802 .adnxs.com sess 3,348 7,768 .adnxs.com uuid2 3,348 7,768 .mathtag.com HRL8 3,708 4,468 .mathtag.com mt_misc 5,824 8,526 .mathtag.com uuid 3,708 4,468 .mathtag.com uuidc 4,431 7,831 DoubleClick .***URL.16t IDE 3,121 Google .google.com NID 0,289 Amazon .amazon-adsystem.com ad-id 9,736 18,757 .amazon-adsystem.com ad-privacy 9,866 19,819 MediaMath 3,868 0,029 En el caso de la prueba realizada con el navegador Google Chrome se observa que todas las cookies de la tabla se descargan antes de que transcurran los 10,8 segundos que tarda ésta en cargarse. En el caso de la prueba realizada con el navegador Mozilla Firefox la carga, tanto de la página como de las cookies es más lenta, pero aun así puede observarse que en los primeros segundos siguen descargándose varias de las cookies de la tabla. Consecuencias observadas 19. El 30 de agosto de 2017 se realiza una prueba consistente en acceder mediante el navegador Google Chrome al sitio web ***URL.1 y, una vez terminada la carga la página, al sitio web ***URL.15. En ambos casos las direcciones se introducen tecleándolas en la barra de direcciones del navegador sin realizar cualquier acción que pudiera representar una aceptación del uso de cookies. Durante la prueba se obtiene un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 fichero en formato HAR que contiene el historial de eventos relativos a la carga consecutiva de ambas páginas. El análisis del fichero permite comprobar que: La primera solicitud para acceder al sitio ***URL.1 tiene como hora las 13:48:42.056. En la imagen siguiente se muestra la descarga de la cookie NID asociada al dominio google.com y con valor *** ***IMAGEN.6 A continuación se muestra la descarga de la cookie IDE asociada al dominio ***URL.16t y con valor *** ***IMAGEN.7 La siguiente imagen muestra la solicitud de carga de la página principal del sitio web ***URL.15 se produce a las 13:49:04.283. ***IMAGEN.8 El envío de la cookie NID del dominio google.com que fue descargada al acceder al sitio ***URL.1 y que conserva el valor adquirido en dicha página. ***IMAGEN.9 A continuación se muestra el envío de la cookie IDE del dominio ***URL.16t que fue descargada al acceder al sitio ***URL.1 y que conserva el valor adquirido en dicha página. ***IMAGEN.10 20. La finalidad de las cookies denominadas “NID” e “IDE”, descargadas al acceder al sitio ***URL.1 y transmitidas al acceder seguidamente al sitio ***URL.15, es descrita en una de las páginas web de Google:  “Google utiliza cookies, como NID y SID, para personalizar los anuncios que se muestran en sus propiedades (p. ej., en el buscador de Google). Por ejemplo, utilizamos estas cookies para recordar tus búsquedas más recientes, tus interacciones anteriores con los resultados de búsqueda o con la publicidad de un anunciante y tus visitas al sitio web de un anunciante. De ese modo, podemos mostrarte anuncios personalizados en Google.”  “Nuestra principal cookie de publicidad en los sitios web que no pertenecen a Google se denomina "id" o "IDE" y se almacena en navegadores en el dominio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 ***URL.16” F. Cursos 21. En el punto 8 de su primer segundo escrito de respuesta ECOPRENSA manifiesta que la entidad no ha tenido un curso activo desde mayo de 2015. Como anexos 1, 2 y 3 de su segundo escrito de respuesta, ECOPRENSA aporta copia de las políticas de privacidad que los alumnos tuvieron que aceptar entre 2012 y 2016. 22. El denunciante manifiesta que los datos de los usuarios de cursos impartidos por ECOPRENSA tiene acceso libre a los todos los datos identificativos y al correo electrónico del resto de los usuarios. Como evidencia de los hechos denunciados, aporta como documento número 10 de su escrito de denuncia un listado de usuarios que el denunciante afirma le ha proporcionado un usuario que no identifica de la plataforma de formación de El Economista. El listado no contiene título o encabezamiento alguno que identifique la plataforma o el curso en el que estaban inscritos los alumnos y tampoco aparece una fecha que pueda indicar el momento de la impartición del curso. El listado tiene 3 páginas con los datos de 39 personas: nombre, apellidos, dirección de correo electrónico, provincia, país y el tiempo transcurrido desde la última conexión a la plataforma. 23. ECOPRENSA manifiesta en el punto 2 de su segundo escrito de respuesta que el curso al que pertenece el listado se denomina “Iniciación al Análisis Técnico”, fue impartido entre el 29/11/2011 y el 14/12/2011 y los profesores que lo impartieron fueron el denunciante, J.J.J. y un tercero. Los tres docentes figuran en el listado de usuarios aportado por el denunciante. ECOPRENSA manifiesta no conservar ningún dato de los alumnos y haber necesitado de la información contable y de facturación para poder comprobar los datos. 24. Respecto del acceso a los datos de los alumnos, ECOPPRENSA manifiesta en el punto 3 de su segundo escrito de respuesta que únicamente los profesores tenían acceso al listado aportado por el denunciante y que éste sólo era accesible haciendo uso de su usuario y clave para acceder a la plataforma de formación. 25. En el listado no aparece una fecha de impresión que permita evidenciar cuándo fue obtenido pero, si el curso fue efectivamente impartido en 2011, el listado debió imprimirse como muy tarde en diciembre de 2011 ya que las fechas de última entrada en la plataforma de los alumnos oscilan entre algunas horas y un máximo de 15 días. TERCERO: De las actuaciones practicadas y sin perjuicio de lo que se derive de la instrucción del presente expediente sancionador, se desprende que la entidad denunciada a través de la página web, podría haber vulnerado lo dispuesto en el art. 5 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 de la LOPD, al proporcionar información en la recogida de datos personales, que incluía la posibilidad de remitir publicidad de terceros sin indicar sectores, lo que impide que pueda establecerse de una finalidad determinada. Asimismo, podría haber vulnerado lo dispuesto en el art. 22.2 de la LSSI, en relación con la información que ofrece sobre DARD en la segunda capa informativa que es insuficiente en relación con los DARD que utiliza, que se descargan sin necesidad de aceptar y navegar por la página web, lo que impide obtener un consentimiento previo e informado del usuario. FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer por parte de EDITORIAL ECOPRENSA, S.A. la comisión de la infracción del artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), según el cual Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario., tipificada como leve en el artículo 38.4
8. g)que considera como tal, Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2., pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. II Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer en la cuantía de 5.000 euros de acuerdo con los siguientes criterios que establece el art. 40 de la LSSI, el previsto en el apartado
9. a)la existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad acuerdo con la Sentencia de la Audiencia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI, y
10. d)La naturaleza y cuantía de los perjuicios causados, en relación al volumen de usuarios que afecta a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 infracción, teniendo en cuenta como indicador la información de la propia página en la que informa de que el número de visitantes únicos mensuales asciende a 6,3 millones. III Los hechos expuestos podrían suponer por parte de EDITORIAL ECOPRENSA, S.A. la infracción del artículo 5 de la LOPD que señala que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
11. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
12. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
13. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
14. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
15. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” y en relación con lo dispuesto en el artículo 45.1
16. b)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. ( RDLOPD en lo sucesivo) que bajo la rúbrica Datos susceptibles de tratamiento e información al interesado, señala que: 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos(…)
17. b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.(…) Tipificada como leve en el artículo 44.2
18. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”, Pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la misma Ley Orgánica. IV De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer en la cuantía de 10.000 euros, de acuerdo con los siguientes criterios que establece el art. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 45.4 de la LOPD, en el apartado b), El volumen de los tratamientos efectuados, y en el apartado
19. c)en la vinculación de la actividad del investigado con la realización de tratamientos de datos de carácter personal, ambos apartados en relación con la inscripción de usuarios a través de formularios en los que se requieren datos de carácter personal, y en el apartado
20. d)El volumen de negocio de la entidad , que de acuerdo con los datos de actividad económica debe considerarse pyme. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a EDITORIAL ECOPRENSA, S.A. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 22.2, de la LSSI, tipificada como leve en el artículo 38.4
21. g)de la citada Ley, y por la presunta infracción del artículo 5 de la LOPD, tipificada como leve, en el artículo 44.2
22. c)de la citada ley orgánica. 2. NOMBRAR como Instructor a ……….., y Secretario, en su caso a ………. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección E/03798/2017, todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
23. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
24. b)del RLOPD, la sanción que pudiera corresponde sería de 15.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a EDITORIAL ECOPRENSA, S.A. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
25. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
26. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 3.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 3.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000 Euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 9.000 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (12.000 Euros o 9.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00508/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la LSSI, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 SEGUNDO: En fecha 14/11/2017 la entidad EDITORIAL ECOPRENSA, S.A. ha procedido al pago de la sanción en la cuantía de 9.000 euros ( nueve mil euros) haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00508/2017, de SEGUNDO: NOTIFICAR la presente resolución a EDITORIAL ECOPRENSA, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es