1/14 Expediente N.º: EXP202415909 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de septiembre de 2022, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento sancionador número PS/00555/2021, seguido contra TECHPUMP SOLUTIONS S.L. (en adelante, TECHPUMP). En dicha resolución, además de sancionar con la imposición de multas por las infracciones de los artículos 5.1.a), 5.1.b), 5.1.e), 6.1, 13, 12.1, 12.2, 30.1, 8 y 25 del RGPD y artículo 22.2 de la LSSI, se ordenó a TECHPUMP SOLUTIONS S.L. que implantara, en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, así como que informara a esta Agencia en el mismo plazo sobre las medidas adoptadas. Entre las mismas se ordenaba adoptar las medidas de seguridad adecuadas para que se verifique la edad de los usuarios, garantizando que sean mayores de edad. SEGUNDO: La resolución del procedimiento sancionador fue notificada fehacientemente en fecha 16 de septiembre de 2022 a TECHPUMP, concediéndole el plazo de un mes para la adopción de las medidas impuestas, tal como consta acreditado en el expediente. TERCERO: Mediante requerimiento de fecha 18 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos requirió a TECHPUMP para que acreditara ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución. Este requerimiento fue notificado fehacientemente a TECHPUMP el 21 de noviembre de 2022, tal como consta acreditado en el expediente. CUARTO: El 30 de noviembre de 2022 TECHPUMP presentó escrito ante esta Agencia, en el que manifestaba: Previa.- Que mediante ese escrito daba cumplida respuesta tanto al requerimiento efectuado por esa Agencia el 18 de noviembre de 2022, que le emplazaba para justificar la adecuación de sus webs a la normativa, así como al requerimiento efectuado el 24 de noviembre de 2022, donde se requirió nuevamente TECHPUMP para el pago de la sanción, a la vista de la denegación (no firme) de las medidas cautelares interesadas por TECHPUMP en sede jurisdiccional. Primera.- Comenzando por el requerimiento de 24 de noviembre de 2022, en el que se comunica “la recepción del Auto de 17 de noviembre de 2022” y, “en su virtud” se “acuerda el cumplimiento en sus propios términos del referido Auto”, manifestó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 1º Ese Auto no era firme, pues contra la misma cabía la interposición de recurso de reposición previo, en su caso, a un recurso de casación ante la Sala III del Tribunal Supremo. 2º TECHPUMP había interpuesto el citado recurso de reposición, por lo que se ha de concluir que el Auto de 17 de noviembre de 2022, aludido por esa Agencia en su resolución de 24 de noviembre de 2022, ni era firme al tiempo de su notificación, ni lo es a día de hoy. 3º Por otro lado, el 21 de octubre de 2022, presentó TECHPUMP un escrito ante esa Agencia en el que manifestó no sólo la voluntad de interponer recurso contencioso administrativo contra la resolución sancionadora, sino que además se acreditaba documentalmente el inicio de tales actuaciones judiciales. Pues bien, dicha suspensión cautelar ha de finalizar cuando el órgano judicial se pronuncie sobre la suspensión cautelar solicitada, en los términos previstos en ella y, evidentemente, con carácter firme. Siendo ello así, interesa nuevamente se acuerde de manera expresa la suspensión sobre la ejecución de la resolución por la que se acordaba la imposición de una sanción a TECHPUMP, así como a la implantación de medidas correctoras, dejando sin efecto inmediato el acuerdo de cumplimiento del Auto que se encuentra recurrido. Segunda.- En relación al requerimiento de fecha 18 de noviembre de 2022: 1º Los datos/cookies en el mercado de webs para adultos, en concreto de vídeos que TECHPUMP tiene, solo valen para una cosa: la medición de la audiencia que entra en una web o, dicho de otra manera, para conocer el tráfico que tiene un sitio web, o en el caso del uso publicitario, de manera exclusiva a la publicidad interna. Así, en el mercado para adultos, todo el uso de las cookies para el usuario final no representa ningún otro “peligro” que el saber cuánta audiencia tiene una web a nivel interno, pero NO se pueden usar con otros fines y no hay posibilidad de poner publicidad de Google/Facebook o cualquier otra plataforma en una web con este contenido, siendo algo exclusivo de este mercado. 2º Entrando de lleno en las medidas ya adoptadas y otras en fase de implementación: A.- En primer lugar, TECHPUMP ha optado por el cierre de dos de las cinco webs inspeccionadas (diverporno.com y soloporno.xxx) las cuales representaban para la empresa unos ingresos anuales de en torno a (…). Se entiende que carece de sentido empresarial sufrir el mínimo riesgo de una posible sanción de una cantidad que multiplica por cinco los ingresos anuales de dichas webs en proyectos que tiene medianamente abandonados hace tiempo y que no tienen prácticamente audiencia. B.- Respecto de las otras webs, TECHPUMP ha tenido serias dudas con Cumlouder, al tratarse de otro proyecto que tiene bastante abandonado, si bien tiene algo más de tráfico, así que se ha optado por realizar todos los esfuerzos y modificaciones posibles en las otras tres webs (porn300/es, serviporno y Cumlouder), por eficiencia y rapidez, destinando de esta manera a mantener estas tres webs perfectas. -MEDIDAS SOBRE EL IDIOMA DE LA POLÍTICA DE PRIVACIDAD: A pesar de que su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 tráfico no es mayoritariamente en español siendo España su país número 7 en audiencia y no siendo un país relevante para la empresa a ningún nivel, ni a nivel ingresos ni a nivel audiencia, se han traducido con traductores nativos de los respectivos idiomas a español todos los textos legales, políticas de privacidad y política de cookies. - En relación con el artículo 5.1
- a)RGPD (licitud, lealtad y transparencia) las medidas que se han tomado han sido las siguientes: BANNER DE ACCESO A LA WEB (menores de edad): Se ha rehecho íntegramente el aviso que se da a la entrada de todas las webs para hacerlo mucho más visual, aumentando la advertencia de que el site es para adultos y haciendo que la comunicación sea mucho más clara y directa. Se ha aumentado el tipo de la fuente de la advertencia para que no haya ningún lugar a confusión. Se ha corregido que solo se pueda acceder a la web si se clicka en el botón de ENTRAR, eliminado cualquier otra posibilidad de clicks por error en la pantalla y difuminando el fondo de la web para que sea imposible el ver cualquier tipo de contenido para adultos. Se ha corregido y hecho más visible la comunicación sobre la política de cookies dentro de la propia advertencia a la entrada del site. Se ha corregido y mejorado la personalización de las cookies pudiendo el usuario ahora antes de entrar elegir cualquier tipo de uso o funcionamiento que quiera tener con ellas. Se ha corregido en el formulario de registro de usuarios en las webs el bug que hacía que se pudiese seleccionar una fecha anterior al 2004. Así mismo, se está en conversaciones con la empresa tecnológica YOTI, que se dedica a pruebas de verificación de edad (https://www.yoti.com/), para hacer todas las pruebas, gestiones e investigaciones que estén en su mano en el formulario de registro y pudiesen tener un sistema avanzado de verificación. Se ofrecen de nuevo para poder tener cualquier tipo de reunión y explicar desde su experiencia qué tipo de medidas serían las más eficientes y adecuadas en cualquier caso porque es un tema muy complejo tecnológicamente y requiere de consenso y mucha comunicación. INFORMACIÓN ÚTIL PARA PADRES/MADRES: Han creado una nueva url que da información a los padres para que tengan información con las herramientas que pueden utilizar al día de hoy respecto a los buscadores, filtros según el sistema operativo de cada uno (ejemplo de Porn300 replicado en las otras 3 webs: https://www.porn300.com/es/parents/). TECHPUMP cree que esta es la mejor medida del mundo para evitar el acceso a los menores a cualquier tipo de contenido, la información que deben de recibir los padres sobre el uso de la tecnología, no hay otra medida humanamente ni tecnológicamente mejor que esta. Se ofrece a asesorar y debatir a partir de su conocimiento acumulado de años sobre cuál debe ser la mejor medida aplicada tecnológicamente para proteger el anonimato de los usuarios y la vez que usen incorrectamente las webs o se permita el acceso a menores de edad. POLÍTICA DE PRIVACIDAD: se actualizó el aviso legal de Porn300 en español (https://www.porn300.com/es/aviso-legal/), el aviso legal de Serviporno en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 español (https://www.porn300.com/es/aviso-legal/) y el aviso legal de Cumlouder en español (https://www.cumlouder.com/es/legal/). Se ha corregido, mejorado y explicado toda la información acerca de todos los tratamientos posibles de los datos que se pueden dar entrando en la web, desde los usuarios registrados a los usuarios que no se registran, hasta la recogida de las IP con la finalidad clara de su uso. También se ha corregido en los RAT todos los tratamientos que se hacen en la página web. - En relación con el artículo 5.1
- b)del RGPD (fines determinados), en la Política de Privacidad se ha corregido la información acerca del tiempo de conservación de los datos, de todos los tratamientos posibles de datos que se dan en la página web, incluido las IP y además las Cookies. También se ha corregido en los RAT todas las finalidades de los tratamientos que se hacen la página web. -En relación con el artículo 5.1
- e)del RGPD (conservación de los datos) las medidas que se han tomado han sido las siguientes: En la política de privacidad se ha corregido y mejorado la información acerca de la información sobre la conservación de los diferentes datos que se tratan, incluido las IP y además las Cookies. También se ha corregido en los RAT todos los tiempos de conservación de los datos que se hacen en los diferentes tratamientos, eliminando la indefinición en los tiempos. -En relación al art. 6.1 del RGPD: En la política de privacidad se ha corregido la información que se le facilita al interesado en relación con el tratamiento de sus datos: • Como USUARIO de una web NO REGISTRADO, se informa de la legitimación, el tiempo de conservación, la finalidad y además de los derechos a poder revocar el consentimiento en cualquier momento como el poder presentar una reclamación ante la Agencia Española de Protección de datos. • En relación a la recogida de la IP, se informa los usos que se le puede dar a ese dato, y por supuesto que no depende de una legitimación como es el consentimiento. • Cookies, Se da información en la política de privacidad y se redunda en las Políticas de Cookies. También se ha corregido en los RAT todos los tiempos de conservación de los datos que se hacen en los diferentes tratamientos, eliminando la indefinición en los tiempos. Y adecuando el hecho de que se puede revocar el consentimiento en cualquier momento. -En relación con el artículo 13 del RGPD: se ha modificado en el cuadro informativo en relación al deber de información recogido en el art. 13, recogiendo la información que faltaba en el mismo: 4.1 art. 6: información sobre revocación del consentimiento (art.7.3 RGPD) en cualquier momento, en los tratamientos que estén legitimados por el consentimiento otorgado en base al art. 6. 4.2 art. 13.2.
- c)RGPD: se informa sobre este derecho regulado en el cuadro informativo. Así como se amplía posteriormente en el texto. 4.3 art. 13.2.
- d)RGPD: se informa en el cuadro de la posibilidad de presentar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 reclamaciones ante la autoridad de control, y se da la dirección de la Agencia Española de Protección de datos en Madrid. 4.4 art. 13.2
- a)RGPD: en el cuadro se informa por el tipo de tratamiento llevado a cabo, de los tiempos de conservación de los datos. Quedando fijados los mismos tanto en la Política de Privacidad como en la Política de Cookies para los tiempos de uso de las cookies (aparte de otros aspectos legales). -En relación a la exigencia del art. 12.1 del RGPD: se ha puesto todos los textos en ESPAÑOL, por lo que esto hace que todo lo referente a la información que se facilita en relación al art. 13 se ha puesto en español. Indicar que antes de recibir la propuesta de sanción, esta medida estaba totalmente implementada, en relación al uso del español. -En relación al ejercicio de derechos, de los art. 12 a 22, y la petición del DNI de la persona que desee ejercer los derechos que le confiere la legislación: se ha retirado el procedimiento de petición del DNI, para todos los que precisan solicitar un derecho recogido en la ley, y se ha creado un procedimiento basado en los datos de registro de usuarios. Se ha insistido al personal, mediante cursos y charlas orientadoras acerca del ejercicio de derechos y el protocolo a seguir en relación a los mismos. Dirigiendo todas las solicitudes al DPD de forma que se pueda realizar una agenda de respuestas efectiva dentro del tiempo legalmente establecido. El usuario puede solicitarlos por vía de email, o bien por vía postal de forma gratuita como se le indica. Y se aplicará el protocolo creado para dar contestación dentro del plazo legalmente establecido. -En relación a la elaboración de los RAT: conforme al art. 30, se modificaron los RAT en relación a los usuarios de las páginas web, adecuándose a los registros de datos que tratan. Asimismo, recogiendo los plazos de conservación de datos y describiendo ampliamente las medidas que la entidad toma para la protección de los datos, tanto organizativas como técnicas, en un anexo que indican en el RAT dado que es más amplio que un simple esquema de tratamiento. -En relación al art. 25 RGPD: las páginas web en cuestión son anteriores al concepto de proactividad y al concepto que recoge el art. 25 RGPD. La mercantil tiene, en relación a las políticas sobre protección de datos, una serie de protocolos en relación a la protección de datos que se han ido instaurando desde la creación de Techpump Solutions S.L., y que día a día, tratan de analizar e implementar. No todos los días se crean nuevos productos en esta empresa, pero sí todos los días tratan datos en la misma, y el hecho de no tener adecuadamente los RAT, o las políticas de privacidad pues puede dar la sensación que el inspector escribe. Pero han mejorado todos los procesos, y se analizan los ciclos de tratamiento de los datos, y por supuesto otras cuestiones importantes antes de comenzar a recoger datos. Es más, tenían puesta una Política de Privacidad, que aunque en inglés, recogía muchos de los aspectos legales que exige la ley. Es evidente que por parte de la mercantil, se han tomado medidas para que el Delegado de Protección de datos pueda tomar las decisiones adecuadas para cumplir con la proactividad, y lo que exige el art. 25 del RGPD. -En relación a la POLÍTICA DE COOKIES art.22 LSSI: se ha incorporado la información sobre las cookies que cada una de las páginas web, junto con la finalidad y la duración de las mismas, así como si son necesarias, o de terceros. Siendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 totalmente claros y transparentes en este punto con cualquier usuario que desee comprobar estos hechos. El contenido está dedicado a adultos, y por lo tanto los menores de edad no tienen cabida dentro de nuestras páginas web. Además, han incidido en este punto para no cometer ningún error al respecto. Comprobaron que sus banners están funcionando, y que evitan que menores de edad puedan entrar a las webs y por supuesto registrarse como mayores de edad. Insisten una vez más que estamos buscando mejorar sus procesos con sistemas más robustos que permitan llegar a un riesgo minimizado en este aspecto. QUINTO: El 29 de diciembre de 2022 TECHPUMP presentó un escrito ante esta Agencia en el que manifestaba: Primera.- En relación al requerimiento de pago efectuado, las medidas cautelares solicitadas por TECHPUMP siguen en tramitación, al haber sido admitido a trámite el recurso de reposición interpuesto contra el Auto de 17 de noviembre de 2022, emplazando a esa Agencia para su contestación. Por lo que interesan nuevamente acuerden de manera expresa la suspensión sobre la ejecución de la resolución por la que se acordaba la imposición de una sanción a TECHPUMP, así como a la implantación de medidas correctoras, dejando sin efecto inmediato el acuerdo de cumplimiento del Auto que se encuentra recurrido. Segunda. - En relación a lo dispuesto en la resolución de fecha 18 de noviembre de 2022, informa que además de las medidas descritas en el escrito anterior, TECHPUMP ha procedido a aplicar cambios de la herramienta para gestionar las cookies. SEXTO: El 10 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos efectuó un requerimiento a TECHPUMP en los siguientes términos: “En fechas 30 de noviembre de 2022 y 29 de diciembre de 2022 tuvieron entrada en esta Agencia dos escritos de la parte sancionada solicitando la suspensión de la ejecución de la resolución por la interposición de recurso contencioso-administrativo. En el recurso contencioso-administrativo n.º (…) interpuesto ante la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional solicitó la parte recurrente la suspensión de la ejecución de la resolución impugnada, por lo que, en cumplimiento del artículo 90.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se suspendió cautelarmente la ejecución de la resolución hasta que el órgano judicial se pronunciara sobre la misma. En virtud del Auto de 17 de noviembre de 2022 de la Audiencia Nacional por el que se deniega la medida cautelar de suspensión solicitada, así como considerando el Auto de 25 de enero de 2023, por el que se desestima el recurso de reposición contra el Auto anterior, dicha suspensión cautelar ha finalizado y la resolución de esta Agencia resulta ejecutiva. El plazo otorgado en la citada resolución para la adecuación de las operaciones de tratamiento analizadas a la normativa de protección de datos personales era de un mes. En consecuencia, se acuerda requerir a TECHPUMP SOLUTIONS S.L. para que, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 plazo marcado contado desde el siguiente a la desestimación de la suspensión cautelar por la Audiencia Nacional, acredite ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución.” Este requerimiento fue notificado fehacientemente a TECHPUMP el 10 de febrero de 2023, tal como consta acreditado en el expediente. SÉPTIMO: El 8 de marzo de 2023 TECHPUMP presentó escrito ante esta Agencia, en el que manifestaba: Primera.- Respecto del pago de la sanción, considera que no resulta procedente puesto que la pieza de medidas cautelares que se sustancia ante la Jurisdicción Contenciosa Administrativa no es firme, pues se interpondrá recurso de casación ante la Sala III del Tribunal Supremo. Por lo que interesa nuevamente se acuerde de manera expresa la suspensión sobre la ejecución de la resolución por la que se acordaba la imposición de una sanción a TECHPUMP, así como a la implantación de medidas correctoras, dejando sin efecto inmediato el acuerdo de cumplimiento del Auto que se encuentra recurrido. Segunda.- Se reiteran las medidas ya implementadas que se informaron en escrito del pasado mes de noviembre de 2022, aún cuando TECHPUMP legítimamente discrepa con la orden recibida y considera que siempre ha actuado conforme a la normativa (cierre de dos de las cinco webs inspeccionadas, medidas sobre el idioma de la política de privacidad, banner de acceso a la web, política de privacidad, deber de transparencia, ejercicio de los derechos, y políticas de cookies), realizando una supervisión y actualización constante en la materia. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR el 23 de noviembre de 2023, la entidad TECHPUMP SOLUTIONS S.L. es una empresa constituida en el año 2007, y con un volumen de negocios de (…) euros en el año 2022. NOVENO: Con fecha 29 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TECHPUMP, por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD. DÉCIMO: Con fecha 18 de diciembre de 2023, se recibió en esta Agencia, en tiempo y forma, escrito de TECHPUMP en el que aducía, en síntesis, las siguientes alegaciones al acuerdo de inicio: - Primera: el acuerdo de inicio vulnera el principio non bis in idem Segunda: prejudicialidad contencioso- administrativa: se ha interpuesto recurso contencioso-administrativo contra el PS/000555/2021, el cual da origen al presente procedimiento Tercera: o I: respecto de la infracción del artículo 5.1.
- a)del RGPD (falta de lealtad y transparencia): I.1: La información desplegada en el Registro de Actividades del Tratamiento de los usuarios (RAT) y en la política de privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 o o o o o C/ Jorge Juan, 6 28001 – Madrid de las páginas webs es a fecha de hoy absolutamente compatible con el RGPD. I.2: en el RAT y en la política de privacidad quedan identificados los tratamientos de datos de usuarios no registrados y de miembros registrados. I.3: el RAT y la política de privacidad incluyen la información sobre compras I.4: la identificación de la IP es solo para adaptar el idioma a través del cual el miembro registrado se relaciona con la página web y la localización de las IPs de acceso es una medida de seguridad necesaria frente a posibles ciberataques y en particular los denominados de denegación de servicio. II: respecto de la infracción del artículo 5.1
- b)del RGDP (Limitación de la finalidad) II.2. Se ha procedido con relación a la mención que se efectuaba con relación a los cuerpos y fuerzas de seguridad del Estado, sin perjuicio de que dicha comunicación se produzca cuando exista una norma con rango de ley que así lo determine Por lo demás, se remite a lo ya expuesto III: Respecto a la infracción del artículo 5.1.
- e)del RGPD (conservación de los datos personales): mientras que no se solicite la baja en el servicio el miembro registrado, se conservarán los datos de carácter personal que fueron suministrados. Se han revisado todos los periodos de conservación de los datos adecuándolos a la naturaleza de los datos y a la legalidad vigente, y, asimismo, se ha modificado la terminología relativa al periodo de conservación, eliminando las expresiones relativas a “periodo de supresión”. IV. Respecto a la infracción del artículo 6.1. del RGPD (obtención de datos personales y falta de consentimiento del usuario): La aceptación de los términos y condiciones lleva consigo la aceptación de la política de privacidad en los miembros registrados y de sus consecuencias jurídicas vinculadas. Para ello, será necesario prestar el consentimiento a estos efectos de forma individualizada y expresa con la finalidad de no infringir lo previsto en el art. 6.1. del RGPD. Por otro lado, ha de indicarse que la totalidad de los textos han sido traducidos al idioma español. V. Respecto de la infracción del artículo 13 del RGPD (Falta de información al interesado): Se ha procedido a las revisiones en relación a los aspectos indicados relativos a la revocación del consentimiento. También vienen recogidos en la Política de Privacidad y en el RAT otros fines. También con relación al Art. 6.1.
- b)del RGPD se ha distinguido claramente entre la base legitimadora del tratamiento de la finalidad del mismo. La base jurídica legitimadora de las IPs se basa en el interés legítimo del responsable del tratamiento, es decir apartado 6.1
- f)del RGPD. VI: Respecto a la infracción del artículo 12.1 del RGPD (suministro de la información al interesado en inglés): Se ha procedido a la actualización de todos los textos al español. www.aepd.es sedeagpd.gob.es 9/14 o o o o o VII: Respecto de la infracción del artículo 30 del RGPD (contenido obligatorio del registro de actividades del tratamiento): El RAT ha sido revisado, se han incluido los datos relativos al responsable del tratamiento y a las categorías de los interesados y de los datos personales. VIII: Respecto a la infracción del artículo 8 del RGPD (Sobre la solicitud del consentimiento de quien ostente la patria potestad o la tutela de los menores de edad): no cabe el acceso de menores de edad activándose la verificación de mayoría de edad, con aviso de las implicaciones, y desde el primer acceso a la página web por medio de una declaración explícita mediante verificación, y sin la cual no puede accederse a la web. Se proporciona información adicional en una segunda capa. IX. Respecto a la infracción del artículo 25 del RGPD (Privacidad desde el diseño): se están elaborando los correspondientes informes de riesgos que fundamentan los estudios sobre privacidad por el diseño X. Sobre la Advertencia de contenido para adultos y la “Política de Protección del Menor en Internet”: el mecanismo de verificación de edad es el que se utiliza en webs de empresas competidoras de una mayor dimensión y con presencia en España. Se ha elaborado además una web de ayuda y protección del menor frente a contenidos que pudiesen ser perjudiciales para los menores. Esta misma semana se incluirá un nuevo mecanismo de verificación que se está elaborando y por el cual ha de introducirse además el año de nacimiento, dato que en ningún caso se conservará. Se acompaña Registro de Actividades de Tratamiento y Política de Privacidad. DÉCIMO PRIMERO: El 20 de diciembre de 2023 TECHPUMP presentó un escrito ante esta Agencia en el que, en síntesis, afirmaba: que en las alegaciones anteriores había presentado una versión incompleta de la Política de Privacidad, la cual ahora presentaba completa. DÉCIMO SEGUNDO: El 26 de enero de 2024 TECHPUMP presentó un escrito ante esta Agencia en el cual manifestaba que se había sometido a una auditoría realizada por (…) y acompañaba: - - DOCUMENTO UNO: certificado del DPO de asistencia a reunión en (…) el 15 de enero de 2024 I. DOCUMENTO DOS: informe interno de principales cambios y mejoras implementados en las páginas webs. II. DOCUMENTO TRES: pruebas de verificaciones de test técnicos de instalación de cookies de acuerdo con las preferencias del usuario. Se sigue revisando periódicamente el sistema para que no produzca fallos y se implanta así un proceso de seguimiento. En caso de no aceptarse cookies, únicamente se instalarán las funcionales. Existe una única cookie de sesión funcional que es necesaria para que la web pueda funcionar. III. DOCUMENTO CUATRO: adecuada identificación de las cookies estrictamente necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 - - IV. DOCUMENTO CINCO: Cualquier usuario puede reportar errores o mejoras que se puedan aplicar a las webs en cuanto a las políticas de privacidad incluyendo la política de cookies. V. DOCUMENTO SEIS: Se implantan por defecto cookies de sesión a los efectos de mejorar los estándares de privacidad y restringir accesos no deseados. VI. Respecto a los proveedores de publicidad y transferencia a terceros países fuera del territorio UE: TECHPUMP únicamente tiene un proveedor de publicidad que es la empresa española (…) que tiene toda su información disponible en relación a las políticas de privacidad y encargo de tratamiento. VII. DOCUMENTO SIETE: se dispone de un panel completo para llevar a cabo todas las configuraciones de cookies. También existe la opción de revocar consentimientos en cualquier momento a través de la política de cookies. VIII. DOCUMENTO 8: implantación de para evitar el acceso a menores a la web. IX. Implementación de un landing page específico para cookies X. PRESTACIÓN DEL CONSENTIMIENTO EN LAS COOKIES. Se ha probado que técnicamente no se permite la navegación sin la aceptación de la política de cookies y siempre implementado por sesión. XI. MANEJO ADECUADO DE LAS COOKIES POR PROVEEDORES PUBLICITARIOS X. DOCUMENTO NUEVE: IMPLANTACIÓN DE LA PRIVACIDAD POR CAPAS. XI. DOCUMENTO DIEZ: ADOPCIÓN DE SISTEMA DE PAGO EN CASO DE RECHAZARSE COOKIES PUBLICITARIAS. No se contempla por el momento este modelo en ninguna de las webs. Sí que se contempla un modelo de migración a contenidos totalmente premium (de pago). DÉCIMO TERCERO: El 30 y el 31 de enero de 2024 TECHPUMP presentó sendos escritos ante esta Agencia, ambos con idéntico contenido al presentado el 26 de enero de 2024. DÉCIMO CUARTO: El 4 de julio de 2024 TECHPUMP presentó un escrito ante esta Agencia, con el siguiente contenido, en síntesis: - - Primero.- En caso de aprobarse el sistema de onboarding publicado en la Nota de Prensa “(…)” publicada por el MINISTERIO PARA LA TRANSFORMACIÓN DIGITAL Y DE LA FUNCIÓN PÚBLICA (se acompaña como DOCUMENTAL UNO), TECHPUMP lo adoptará de inmediato, sin perjuicio de las medidas que ya han sido implementadas, demostrando que no viene establecido hasta la fecha un procedimiento de onboarding obligatorio para páginas para adultos, tal y como se hace patente con la propia nota del Ministerio que se acompaña. Segundo.- La publicación de la referida nota de prensa demuestra que hasta la fecha no existía un sistema de onboarding para páginas de adultos establecido. Tercero.- Que el sistema de onboarding que pretende establecerse según la mencionada nota de prensa, incluye datos de carácter personal que a nuestro entender suponen una importante vulneración de los derechos de las personas, en este caso de las personas adultas, y resulta un sistema de onboarding fuera del marco del Reglamento General de Protección de Datos y en consecuencia de la LOPD. En caso de no migrar a páginas “de pago” para cuando resulte de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 - aplicación esta normativa, se aplicará, pese a que se considera que no es ajustada a derecho. Cuarto.- Techpump mantiene una actitud absolutamente proactiva y propone sistemas alternativos más efectivos y que resultan conformes con la privacidad de las personas. DÉCIMO QUINTO: El 4 de septiembre de 2024 TECHPUMP presentó un escrito ante esta Agencia, con el siguiente contenido, en síntesis: - - - - PRIMERO. TECHPUMP está haciendo un enorme esfuerzo para incorporar a sus páginas web sistemas técnicos que permitan controlar y evitar el acceso de menores a páginas web con contenido exclusivo para adultos. Siguen muy de cerca los avances que está llevando a cabo el Ministerio de Transformación Digital, a los efectos de poder poner a disposición de los usuarios y de las empresas del sector una herramienta eficaz y que sea conforme a Derecho. Cuando dicha herramienta se encuentre bien definida y a disposición del mercado, TECHPUMP la incorporaría a las páginas webs de la empresa que tengan contenidos para adultos. SEGUNDO. En el momento presente ni en el correspondiente a la imposición de la sanción a TECHPUMP, no existía norma legal que determinara el hecho infractor. Además, el liderazgo tecnológico a los efectos de la instrumentalización de la correspondiente herramienta que impida el acceso de personas menores de edad a determinados entornos digitales de contenido exclusivo para adultos lo está llevando a cabo el Ministerio de Transformación Digital, y que la herramienta en cuestión, se encuentra en fase de construcción, con lo que difícilmente se puede imponer su utilización en el momento de la imposición de sanciones contra TECHPUMP, o en la actualidad, cuando dicha herramienta ni se encuentra terminada, ni es operativa, ni es de general conocimiento para las empresas. TERCERO. Cita la Sentencia del Tribunal Supremo, Sala de lo Contenciosoadministrativo, en su Sentencia número 1263/2024, 15 Jul. Rec.5039/2022, en la que se afirma “El Supremo anula la multa de 250.000 € impuesta a la Liga Nacional de Fútbol Profesional porque la Agencia de Protección de Datos sancionó directamente por el incumplimiento de garantías que se concretaron a posteriori y que no eran previsibles en el momento en que se realizaron las conductas sancionadas, y lo hizo sin haber dirigido un requerimiento previo para que se acomodase la conducta a las exigencias que se consideraban necesarias. (…) Cuando la Liga Nacional de Futbol Profesional desarrolló y comercializó su aplicación, no era razonable dar por sentado que el principio de transparencia exigía que apareciese un aviso cada vez que la aplicación activase el micrófono del móvil. (…) Por ello, estima el Supremo que la imposición de una sanción, basándose en la integración que del principio de transparencia realiza el órgano de control, con un alcance que no conocía previamente el infractor, ni era razonable que lo hiciese, no es compatible con una correcta utilización de la potestad sancionadora, porque no es posible sancionar directamente una conducta por el incumplimiento de garantías que se concretaron a posteriori y que no eran previsibles en el momento en que se realizaron las conductas sancionadas”. CUARTO. La lectura de esta Sentencia presenta una clara analogía con el presente caso, ya que no existe un tipo sancionador concreto y determinado, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 se produce una infracción ex novo, de nueva creación rompiendo y vulnerando el principio de tipicidad, cuando ni por la ausencia de norma, ni por el desarrollo tecnológico adecuado, existen unas pautas concretas y determinadas que deban ser cumplidas, que sean públicas y de general conocimiento, y consecuentemente con las mismas, sean de obligado cumplimiento. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Procedimientos en caso de posible vulneración de la normativa de protección de datos El apartado 2 del artículo 64 “Forma de iniciación del procedimiento y duración” de la LOPDGDD determina lo siguiente, respecto a los procedimientos en caso de posible vulneración de la normativa de protección de datos (el subrayado es nuestro): “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 A tenor de lo dispuesto en el artículo transcrito, el procedimiento sancionador ha de entenderse caducado si, transcurridos más de doce meses contados desde la fecha del acuerdo de inicio no se ha procedido a dictar y notificar la resolución del procedimiento sancionador. En el presente caso, el acuerdo de inicio del presente procedimiento sancionador se firmó el día 29 de noviembre de 2023. El plazo de los doce meses de duración máxima del procedimiento sancionador finalizaba el día 29 de noviembre de 2024 y actualmente el procedimiento aún está pendiente de finalización, por lo que debe declararse su caducidad. Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador, con el número EXP202415909. SEGUNDO: NOTIFICAR la presente Resolución a TECHPUMP SOLUTIONS S.L. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-101224 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es