1/6 Procedimiento nº.: E/08994/2021 RESOLUCIÓN DEL RECURSO DE REPOSICIÓN Nº- RR/00608/2021 Examinado el recurso de reposición interpuesto por D. A.A.A., (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 01/09/21, en el procedimiento, E/08994/2021, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 01/09/21, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en el expediente E/08994/2021, en virtud de la cual se archivaba la reclamación presentada, en base a los siguientes motivos: 1º.- Según se manifestó en el escrito de reclamación: - En el formulario de la página web, ***URL.2, no existía la casilla para aceptar la política de privacidad y se incumplía de la política de privacidad y la política de - Para justificar que había intentado ejercitar su derecho a la supresión de los datos personales de la base de datos de la web, ***URL.1, adjuntaba un correo electrónico enviado a la dirección: ***EMAIL.
- En la tramitación del expediente, esta Agencia detectó dos posibles contradicciones hechas en la reclamación: - Por una parte, la dirección de correo electrónico ***EMAIL.2 a la que se envió la solicitud de cancelación de los datos personales existentes en la web, ***URL.1 no concordaba con la indicada en la página web para ejercer los derechos con respecto a los datos personales y que es: i***EMAIL.
- - Por otra parte, el mensaje enviado en dicho correo no tenía ninguna concordancia con una posible solicitud de supresión de datos personales, pues en el mismo se indicaba textualmente lo siguiente: ”Nos gustaría trasladarle que hemos realizado un escrito a la Pastoral de Cáritas Diocesana tras hablar con ellos en persona. Para que tome resolución por si no podrían aceptar el pago de la donación de los beneficios del 4º Cross Popular Solidario XXXXXXXXXX por las irregularidades cometidas. Tomando el XXXXXXXX la debida resolución para comunicársela al Párroco de XXXXXXXXX. Si persiste el impago, tendremos que informar al Patronato de Deportes del Ayuntamiento de ***LOCALIDAD.1 ante las continuas anomalías. Adjunto la facturación por los trabajos realizados”. 2º.- No obstante, con fecha 18/08/20, La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, realizando las siguientes comprobaciones de la “Política de Privacidad” y en “Política de Cookies”, en la página C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 web,***URL.1: A).- Sobre el tratamiento de datos personales: A través de la pestaña de “contacto”, la web despliega un formulario donde es posible introducir datos personales, como el nombre, el correo electrónico y el asunto. En el mismo formulario existe información sobre la identidad del responsable del tratamiento de datos personales: “Cronodream”.- CONTACTO: C/ ***DIRECCIÓN.1.- ***TELÉFONO.1.- i***EMAIL.1 y sobre la actividad de la entidad y el fin genérico al que se dedicarán los datos personales en el apartado “Sobre Nosotros”, situado en la parte derecha del formulario. B).- Sobre la Política de Privacidad: Si se opta por acceder a la “Política de Privacidad” a través de los enlace existente en la parte superior del formulario o en la página principal, la web redirige a una nueva página, ***URL.3, donde se proporciona información sobre, quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento; los destinatarios de la transferencia de datos; el tiempo que tendrán a su disposición los datos personales obtenidos; la legitimación del tratamiento de los datos e informan sobre los derechos que asisten a los usuarios en materia de protección de datos, dónde y cómo ejercitarlos. C).- Sobre la Política de Cookies:
- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprobó que no utilizaba cookies que no fueran técnicas o necesarias.
- Existe un banner sobre cookies que aparece en la página principal de la web, con el siguiente mensaje: “Utilizamos cookies para ofrecerte la mejor experiencia en nuestra web. Puedes aprender más sobre qué cookies utilizamos o desactivarlas en los ajustes”. Si se opta por aceptar las cookies, se comprueba como la web sigue sin usar cookies que no sean técnicas o necesarias. 3.- Si se accede al panel de control de cookies, a través del enlace correspondiente, la web despliega un panel de control de cookies, con el siguiente mensaje: “Esta web utiliza cookies para que podamos ofrecerte la mejor experiencia de usuario posible. La información de las cookies se almacena en tu navegador y realiza funciones tales como reconocerte cuando vuelves a nuestra web o ayudar a nuestro equipo a comprender qué secciones de la web encuentras más interesantes y útiles”: “guardar ajustes”, se comprueba que la web sigue sin utilizar cookies que no sean técnicas o necesarias o si se opta por “activar todo” se comprueba que la web sigue sin utilizar cookies “no necesarias”. SEGUNDO: Con fecha 21/09/21, tuvo entrada en esta Agencia escrito de recurso de reposición, en los que indicaba, entre otras, lo siguiente: “Quisiera recurrir la resolución del archivo por las siguientes anomalías que siguen incumpliendo en la web: A.- En la resolución del apartado a: En la web con enlace ***URL.1, se incumple la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 legislación actual en el formulario de contacto: LSSI y el RGPD imprescindible siempre que se produzca una recogida de datos personales, como es el caso de los formularios de contacto, Artículo
- Tratamiento basado en el consentimiento. Al no contemplar la siguiente obligatoriedad: 1.- Incluir una casilla de aceptación (checkbox) que genere un registro del consentimiento.
- Incluir una primera capa informativa con la coletilla legal del formulario según su tipología y
- Incluir un enlace hacia la política de privacidad (segunda capa). Por tanto, es indispensable recoger el consentimiento del usuario con la política de privacidad antes de validar sus datos en cualquier formulario mediante una casilla de “acepto”, que no puede estar “premarcada” por defecto, como en el caso que se denuncia (Documento 1). Consultar. ***URL.2”. B.- Sobre el derecho de supresión de datos tras enviar correo. El email enviado se realiza al correo facilitado por el denunciado debido que su actividad principal es un negocio de peluquería. Actualmente ha cambiado los avisos legales en la web de la peluquería partir de los hechos manifestados o denunciados con fecha de 25 de julio del presente año. Pudiéndose comprobar en el siguiente enlace: ***URL.
- Por tanto, para librarse de cualquier tipo de culpa o confundir a la Agencia de Protección de Datos, actualmente relaciona ambas webs y las cláusulas legales para desviar la atención para “no ser sancionado”. Cambiando el correo de contacto de la peluquería por i***EMAIL.1 y eliminando el formulario de la web como se puede comprobar en la captura del Documento nº
- En definitiva, enviar un correo a la peluquería — que es su actividad principal — es procedente para pedirla cancelación de datos. El cual es ficticio y falto de realidad que B.B.B. nunca recibiera una notificación por mi persona como demostré cuando realicé la denuncia. Sin duda incurre en fraude de ley para confundir reiteradamente e inhibirse de las faltas cometidas. Las dos actividades profesionales y las dos webs citadas están domiciliadas en el mismo centro laboral. Finalmente, insisto que se ha cambiado la dirección de contacto para enmarañar como es habitual en sus continuos métodos. Pudiéndose comprobar que en el siguiente enlace las cláusulas legales son las mismas en ambas webs al ser cambiadas o manipuladas o como se diría vulgarmente utilizando el método “corta y pega”: ***URL.
- FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: Sobre la alegación efectuada con respecto a la no existencia de una casilla de aceptación (checkbox) que genere un registro del consentimiento en el formulario. A través de la pestaña de “contacto” de la página principal: ***URL.1, la web redirige al usuario a una nueva página ***URL.2 desplegándose un formulario donde es posible introducir datos personales, como el nombre, el correo electrónico y el asunto. Existe casilla de aceptación de la política de privacidad, “_ Acepto las condiciones generales y la política de privacidad”, que debe ser aceptada antes de poder enviar los datos personales cliqueando en <<enviar>>. Existe la posibilidad de acceder a la política de privacidad cliqueando en el mensaje “Acepto las condiciones generales y la política de privacidad”. Sobre Incluir una primera capa informativa con la coletilla legal del formulario según su tipología y sobre Incluir un enlace hacia la política de privacidad (segunda capa). En el mismo formulario existe información concisa, transparente, de fácil acceso y con lenguaje claro y sencillo sobre la identidad del responsable del tratamiento de datos personales y como contactar con él: “Cronodream”.- CONTACTO: C/ ***DIRECCIÓN.1.- ***TELÉFONO.1.- i***EMAIL.1 y ofrece, un resumen de la información más importante sobre el tratamiento de datos personales, en el apartado “Sobre Nosotros” situado en la misma página del formulario, sin remitir a otros documentos o apartados mediante enlaces. La información se facilita en capas pues existe un enlace en la parte superior del mismo formulario que redirige al usuario a la “Política de Privacidad” de la página web: ***URL.3 donde se proporciona información sobre las Finalidades del tratamiento; Base jurídica del tratamiento; los posible destinatarios de los datos recogidos; Información sobre el plazo durante el cual se conservarán los datos personales o los criterios utilizados para determinar ese plazo; Derecho a solicitar del responsable el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos Sobre El email enviado al correo facilitado por el denunciado debido que su actividad principal es un negocio de peluquería Hay que indicar que en ningún sitio de la página web reclamada ***URL.1, existe indicación alguna sobre la dirección de correo electrónico a la cual se envió la solicitud de supresión de datos personales, esto es, a la dirección: ***EMAIL.
- Además, en la “Política de Privacidad” de la página web reclamada existe la reseña siguiente: “El responsable del tratamiento es Cronodream, y puede contactarla a través del e-mail i***EMAIL.1 o por Correo a la siguiente dirección: ***DIRECCIÓN.1”. Por tanto, el hecho de que la actividad principal del responsable del tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 los datos personales de la página web sea peluquero y que la dirección de la peluquería donde trabaja o incluso la dirección de correo personal sea, ***EMAIL.2 es un dato que no tiene nada que ver con la actividad que realiza el reclamado a través de la página web en cuestión (***URL.1) y el hecho de que el reclamante conozca esta segunda dirección de correo electrónico personal o profesional del reclamado, a través de la cual se puso en contacto con él, no significa que deba ser tenida en cuenta como dirección oficial para ejercer los derechos sobre protección de datos referente a la página: ***URL.
- Además, como se ha indicado anteriormente, la activad de la entidad Cronodream, en nada tiene que ver con una actividad relacionada con una peluquería y así se especifica en el apartado “Sobre Nosotros”, situado en la parte superior de la página principal: “Cronodream (…) nace hace un verano del 2015, con sede en ***LOCALIDAD.1, creada por deportistas en activo nazarenos cuyo fin es dar un servicio de calidad a los participantes conociendo en todo momento las demandas actuales tanto técnicas-tecnológicas como humanas. Ofrecemos al organizador todo tipo de servicios como son fabricación de dorsales, alquiler de infraestructuras como arcos de meta, cronómetros, elaboración de la bolsa de obsequios para el participante, camiseta de finisher e incluso asesoramiento a la hora de la organización de la prueba. Nuestra experiencia en la organización, desarrollo y cronometraje nos hace crecer día a día con el único afán de dar un buen servicio al usuario . Por tanto, si los datos personales de los usuarios son ofrecidos a través de la página web, ***URL.1, si desean ejercer alguno de los derechos marcados en el RGPD sobre sus datos personales, deberán dirigirse, en todo caso, a la dirección marcada para ello en la propia página web, en el formulario y en su política de privacidad, (esto es, a la dirección: i***EMAIL.1 o por correo ordinario a la dirección indicada), y no a través de otro contacto indirecto conocido como pueda ser, el correo electrónico personal o el correo electrónico de la otra actividad profesional, pues estas direcciones, por ser privada o en su caso, de actividad profesional ajena no estarían destinadas a tal fin. A todo ello, habría que añadir que, del mensaje enviado al correo electrónico, ***EMAIL.2, no se desprende en ningún caso que se desee ejercer el derecho de supresión de datos personales de las bases de datos de la página web ***URL.
- Por tanto, de las alegaciones presentadas por el recurrente en el escrito de recurso de reposición, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A., contra la Resolución de esta Agencia Española de Protección de Datos dictada el 01/09/21 en el expediente E/08994/
- SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos, Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es