1/7 Procedimiento nº.: E/01678/2014 ASUNTO: Recurso de Reposición Nº RR/00626/2014 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01678/2014, y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de julio de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/01678/2014, procediéndose al archivo de actuaciones en aplicación de los principios de responsabilidad y presunción de inocencia contemplados en los artículos 130.1 y 137.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), al no haberse constatado la existencia de hechos que motivasen la imputación de una posible infracción administrativa a la entidad 1&1 INTERNET ESPAÑA, S.L.U. en las materias objeto de denuncia. Dicha resolución, que fue notificada a Don A.A.A., en adelante el recurrente, en fecha 7 de agosto de 2014, según aviso de recibo que figura en el expediente, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 126.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Don A.A.A., (en lo sucesivo el recurrente), ha presentado en esta Agencia, en fecha 22 de agosto de 2014 recurso de reposición, fundamentándolo, básicamente, en los siguientes argumentos: - Que la empresa 1&1 INTERNET ESPAÑA, S.L.U. (en adelante 1&1) comercializa tres tipos de contrato, habiéndose facilitado a la AEPD, por lo visto, las claves para acceder únicamente a uno de ellos. - Que con fecha 8 de agosto de 2014, a la vista de la resolución recurrida, accedió a su panel de control, desplegando la función Formularios correspondiente al contrato “1&1 Editor web” suscrito por el recurrente, sin que las herramientas proporcionadas por la empresa denunciada incluyan una casilla para recabar el consentimiento de los usuarios de sus páginas web o permitan su incorporación. Se adjunta impresión de captura de las pantallas que muestran los pasos seguidos al acceder a su panel de control y se facilita su ID y contraseña a los efectos de que la AEPD pueda verificar lo expresado . - Se ratifica en que dicha empresa conoce que no se puede incorporar el botón C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 o casilla para recabar el consentimiento de los interesados, remitiéndose al correo electrónico del 14 de enero de 2014 en el que se le indicaba que “En relación al formulario de contacto, si no cumple lo que precisa, le recomendamos que lo deshabilite.” - Que puesto en contacto vía telefónica con el Servicio técnico de 1&1 se le informa que para incorporar el botón o casilla en sus formularios debe pagar una cuota mensual. También se le indica, como solución gratuita, que puede diseñar con otro programa una página web en lenguaje HTML que puede incorporar con un enlace a sus sitios web, opción desproporcionada para los conocimientos de programación de páginas web del recurrente y de la mayoría de los clientes de este tipo de servicios. - Entiende que a la vista de dichas circunstancias “la Agencia debe resolver si es conforme a la Ley que esta empresa ME OBLIGUE A PAGAR UNA CUOTA MENSUAL para cumplir con la LOPD que, con ello, les representa un NEGOCIO LUCRATIVO.”, dado que, a su juicio, la resolución de dicha cuestión “puede sentar un precedente entre las personas y empresas que se dedican e intentan proteger este derecho fundamental que ampara a todos los ciudadanos porque conocerán si los responsables de tratamiento datos: Deben incorporar una casilla para recabar el consentimiento para el tratamiento de datos en las páginas web. Si los proveedores que las diseñan deben incorporar todas las herramientas para que sus clientes cumplan con la LOPD. Si un cliente tiene que pagar al proveedor de estos servicios una cuota para que obtenga un beneficio económico por su cumplimiento. - FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En los Fundamentos de Derecho II y B.B.B. de la resolución impugnada se argumentaban los motivos que sustentaban el acuerdo de archivo de las actuaciones de inspección practicadas en el expediente E/01678/2014 en relación con el posible incumplimiento por parte de 1&1 INTERNET ESPAÑA, S.L.U. de lo previsto en los artículos 5 y 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) y al artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en lo sucesivo LSSI), y que se transcriben a continuación: << II En el presente caso, el denunciante manifiesta que la empresa 1&1, con la que tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 contratado el diseño y alojamiento de cuatro sitios web, no le permite acceder a las fuentes o software del programa para introducir otras opciones que no sean las proporcionadas en sus plantillas de configuración de dichos sitios, Según el denunciante esta circunstancia le impide, por un lado, incorporar una casilla de aceptación de la política de privacidad en los formularios incluidos en las cuatro páginas web a través de los cuales se recaban datos personales de los usuarios y, por otro lado, incorporar un aviso en las mismas informando sobre la utilización de dispositivos de almacenamiento y recuperación de datos (en adelante Por lo tanto, ante la imposibilidad de incorporar en sus sitios web tales funciones, y sin que la empresa las haya implementado en los diferentes servicios contratados, no puede dar cumplimiento a las exigencias relativas al consentimiento expreso recogidas en la LOPD, ni al requisito de información sobre el uso de cookies a los usuarios que visitan los sitios web de su titularidad. En este caso la normativa a la que se refiere el denunciante afecta a los principios del derecho de información en la recogida de datos y del consentimiento del afectado recogidos en los artículos 5 y 6 de la LOPD, respectivamente, y al cumplimiento de las exigencias recogidas en el artículo 22.2 de la LSSI para la obtención del consentimiento informado para el uso de cookies. El artículo 5.1 y 2 de la LOPD dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. La exigencia de esta información, en la recogida de los datos, que regula este artículo constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento para el tratamiento de tales datos en relación con las finalidades para las que los datos sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 recogidos, principio respecto del cual el artículo 6.1 de la LOPD dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. “, De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión por parte del responsable del tratamiento puede determinar un vicio de consentimiento. A su vez, el artículo 22.2 LSSI, en la redacción dada por la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Por lo tanto, para garantizar la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados, la regulación nacional establece la obtención de un consentimiento informado con el fin de asegurar que éstos puedan conocer del uso de los datos recabados de sus equipos terminales y las finalidades para las que son utilizados, todo ello sin perjuicio de las exenciones recogidas en el tercer párrafo del mencionado precepto, siempre y cuando todas y cada una de las finalidades para las que se utilicen las cookies estén individualmente exentas del deber de informar y obtener el consentimiento sobre su uso. III De las actuaciones de inspección practicadas por esta Agencia, y de la valoración conjunta de las mismas, se desprenden los siguientes hechos: I. En las pruebas practicadas se ha constatado que el sistema de plantillas habilitado para la creación de páginas web por la empresa 1&1 permite incluir un checkbox junto a los formularios de contacto puestos a disposición de sus clientes y etiquetar el mismo con la leyenda que se considerase pertinente. II. En dichas pruebas también se ha verificado que el sistema de plantillas permite incluir un mensaje inicial en la cabecera del sitio en desarrollo, al igual que posibilita incluir enlaces a otras páginas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Por lo tanto, no hay obstáculo para que el editor que utiliza las plantillas proporcionadas por dicha empresa pueda insertar un checkbox junto al formulario en que recaba datos personales de los visitantes a fin de obtener su consentimiento expreso para el tratamiento de los mismos , como tampoco hay impedimento para que éste pueda incluir en la página inicial del sitio web creado un aviso conteniendo información sobre el uso de cookies, el cual, a su vez, puede contener un enlace que permita al usuario acceder al documento de “Política de Cookies”. Así las cosas, procede señalar que, a la vista de las capturas de pantalla obrantes en las actuaciones previas de inspección practicadas, se enervan las manifestaciones del denunciante en relación con los hechos objeto de denuncia, ya que a través de las mismas se prueba que las herramientas de diseño de páginas web proporcionadas por la empresa denunciada permiten al editor de las mismas incorporar tales funcionalidades. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” A mayor abundamiento, durante los accesos efectuados a los sitios web del denunciante no se detectó la instalación de cookies, circunstancia que corrobora la afirmación efectuada por 1&1 al denunciante sobre que no almacena cookies por defecto en los sitios web creados mediante las plantillas que pone a disposición de sus clientes, motivo por el cual, mientras se mantenga esta situación no está obligada a informar sobre el uso de cookies en relación con dicho servicio. >> III En el citado recurso el recurrente plantea que con la prueba aportada “es cuestión de la Agencia resolver sobre si un cliente tiene que pagar a un proveedor de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 servicios para que pueda cumplir con la Ley.”, Atendido que la naturaleza de la cuestión planteada se enmarca, básicamente, dentro de las condiciones generales y particulares del contrato de servicios suscrito entre la empresa denunciada y el recurrente, ya que afectan al objeto del mismo y a sus condiciones económicas, esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la correcta prestación de los servicios contratados, la interpretación de cláusulas contractuales o la valoración de los términos y de las obligaciones derivadas de las relaciones contractuales entre las distintas partes de un contrato, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos por la normativa de protección de datos. Así, el artículo 2 de la LOPD establece que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. (….)”. A su vez, el artículo 37.1 de la LOPD, atribuye a la Agencia Española de Protección de Datos, entre otras, las funciones de: “
- a)velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación…” y “
- g)ejercer la potestad sancionadora en los términos previstos en el Titulo VII de la presente Ley…”. Por todo lo cual, la AEPD no es el órgano competente para dirimir las controversias derivadas de la fijación del importe de los servicios contratados u objeto de posible contratación por parte del recurrente, ni el alcance de los mismos, ya que exceden de su ámbito competencial. Ahora bien, en lo que respecta a los aspectos objeto de análisis atribuibles a esta Agencia, hay que recalcar que el recurrente ha determinado la naturaleza de los datos a recabar en sus páginas web, optando por recoger datos de carácter personal mediante los formularios de contacto incluidos en el servicio “1&1 Editor Web”. Este tratamiento, con arreglo a lo previsto en el apartado
- d)del artículo 3 de la LOPD, convierte al recurrente en “Responsable del fichero o tratamiento”, ya que dicho precepto define como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”. De este modo, recae sobre el mismo la obligación de dar cumplimiento al deber de información previa y al principio del consentimiento contemplados en los artículos 5 y 6 de la LOPD, puesto que ostenta la condición de responsable del fichero generado por la recogida de dichos datos y resulta responsable, también, del tratamiento dado a los mismos, para lo cual precisa, además, contar con el consentimiento inequívoco de los titulares de los datos recabados. Por lo tanto, el recurrente está obligado a adecuar sus páginas web a las exigencias de la normativa de protección de datos, siendo su exclusiva responsabilidad el modo y medios elegidos para ello. Así, el servicio “1&1 Editor Web” fue libremente contratado por el recurrente a dicha empresa cuando, según se desprende de sus propias afirmaciones, hubiera podido contratar otro servicio de HOSTING también comercializado por esa mercantil que, a la vista de las pruebas efectuadas por esta Agencia, le permitiría configurar el diseño de sus páginas web incluyendo la casilla de aceptación de la política de privacidad. En todo caso, resulta relevante recordar que con arreglo a las “Condiciones y Términos Generales” que rigen la prestación de los diferentes servicios comercializados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 por 1&1, entre ellos los de alojamiento Web, dicha empresa no se responsabiliza del contenido alojado en el espacio atribuido al usuario por el servicio, teniendo el cliente la total responsabilidad sobre el contenido de su Web, la información transmitida y almacenada, de su explotación, de los enlaces de hipertexto, de las reivindicaciones de terceros y de las acciones legales que su actuación pudiera desencadenar. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 25 de julio de 2014, en el expediente de actuaciones previas de inspección E/01678/2014. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es