← España

REPOSICION-PS-00321-2013

1/21 Procedimiento nº.: PS/00321/2013 ASUNTO: Recurso de Reposición Nº RR/00127/2014 Examinado el recurso de reposición interpuesto por el representante legal de las entidades NAVAS JOYEROS IMPORTADORES, S.L. y PRIVILEGIA LUXURY EXPERIENCE, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00321/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de enero de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00321/2013, en virtud de la cual se acordó imponer las siguientes sanciones: “PRIMERO: IMPONER a la entidad NAVAS JOYEROS IMPORTADORES, S.L., por una infracción del artículo 5.1 y 2 de la LOPD, tipificada como leve en el artículo 44.2.

  1. c)de dicha norma, una multa de 1.500 € (Mil quinientos euros), de conformidad con los apartados 1 y 4 del artículo 45 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad NAVAS JOYEROS IMPORTADORES, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
  2. g)de dicha norma, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en los artículos 39.1.
  3. c)y 40 de la citada LSSI. TERCERO: IMPONER a la entidad PRIVILEGIA LUXURY EXPERIENCE, S.L., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4.
  4. g)de dicha norma, una multa de 500 € (Quinientos euros), de conformidad con lo establecido en los artículos 39.1.
  5. c)y 40 de la citada LSSI.” Dicha resolución, que fue notificada a ambas sociedades (en adelante NAVAS JOYEROS y PRIVILEGIA o entidades recurrentes) en fecha 14 de enero de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00321/2013, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: NAVAS JOYEROS es responsable de los sitios web www.navasjoyeros.com, www.navasjoyeros.org, www.navasjoyeros.es, www.navasjoyeros.eu, www.navasjoyeros.info, www.navasjoyeros.net y www.anillosdecompromisocondiamantes.com, cuyo desarrollo responde a una finalidad informativa. Estos sitios están desarrollados como blogs utilizando las herramientas de la plataforma Wordpress. (folios 358 y 359) SEGUNDO: El sitio web www.joyeriaydiamantes.com, del que es responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 PRIVILEGIA y que permite la comercialización on-line de los productos de dicha empresa, ha sido desarrollado con la plataforma MAGENTO en virtud del contrato firmado el 15 de febrero de 2010 entre NAVAS JOYEROS y KNOWCENTURY, Soluciones Integrales, S.L. . (folio 371, 375 AL 382 ) TERCERO: Con fecha 12 de noviembre de 2012 se constata que los sitios web www.navasjoyeros.com, www.navasjoyeros.es, www.navasjoyeros.eu, www.navasjoyeros.org, www.joyeriaydiamantes.com cuentan con formularios de contacto que recaban el nombre, correo y teléfono de los usuarios sin facilitar la información que el artículo 5.1 de la LOPD establece debe prestarse a los interesados a los que se solicitan datos personales . (folios 34, 35, 68, 97 , 127 ) CUARTO: Con fecha 21 de diciembre de 2012 NAVAS JOYEROS manifiesta haber insertado una cláusula informativa en los formularios de los sitios web de la empresa. Aporta impresión de captura del formulario de sitio web www.navasjoyeros.com que contiene un enlace a la política de privacidad en la que se indica que los datos se incorporan a un fichero del que es responsable NAVAS JOYEROS, las finalidades para las que se recaban los datos y la posibilidad de ejercitar los derechos ARCO previstos en la LOPD. Se ha verificado que dicho contenido es coincidente con el del “Aviso Legal” al que remite el enlace de “Política de Privacidad” insertado en los formularios de contacto de los sitios web de NAVAS JOYEROS. ( folios 312 y 313, 848 al 879) QUINTO: NAVAS JOYEROS utiliza para la gestión, funcionamiento y seguimiento de sus sitios web los servicios estadísticos de analítica web de GOGLE ANALYTICS de la empresa GOOGLE INC, los servicios de analítica web del sitio www.wordpress.com de la empresa AUTOMATTIC INC que proporcionan información agregada e individualizada de los visitantes , los servicios de medición de tendencias y de análisis estadístico de otros aspectos de la navegación proporcionados por QUANTCAST y los servicios del dominio youtube.com You Tube LLC para insertar vídeos publicitarios en los sitios web. (folios 269 al 270 , 358 al 365 y 401 al 430). SEXTO: NAVAS JOYEROS también contrató con fecha 04/10/2010 los servicios de monitorización y seguimiento de actividades en Internet de la entidad TradeDoubler España, SL para la inserción de sus anuncios entre los afiliados al “Servicio Programa de Afiliación TradeDoubler”. Según NAVAS JOYEROS la citada relación contractual ha concluido. (folios 372 y 386 al 400). SÉPTIMO: PRIVILEGIA utiliza los servicios de las empresas ZOPIM TECHNOLOGIES PTE LTD para gestionar el chat que dispone su sitio web, los servicios de SEEVOLUTION INC para estudiar el comportamiento de navegación de sus clientes en la web, los servicios de de GOGLE ANALYTICS de la empresa GOOGLE INC para monitorizar y analizar el comportamiento de navegación los usuarios que visitan la web, los servicios del dominio youtube.com de la empresa You Tube LLC para insertar vídeos publicitarios en la web, habiendo utilizado en el pasado los servicios de TradeDoubler España, S.L. y los servicios de KNOWCENTURY, Soluciones Integrales, S.L. que presta servicios informáticos a través de la plataforma MAGENTO dando soluciones (folios 371 al 382, 386 al 400, 432 al 454). OCTAVO: La utilización de los mencionados servicios por parte de NAVAS JOYEROS y PRIVILEGIA origina la descarga de diferentes tipos de cookies no exentas del deber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 de información previa al usuario que accede a los sitios web de su titularidad. (folios 456 al 480 y 539 al 541, 771 al 776) NOVENO: En el apartado 4.3 de las Condiciones Generales del contrato suscrito por NAVAS JOYEROS con TradeDoubler consta que dicha entidad “ utiliza “cookies” para el seguimiento de registros y ventas con una duración mínima de 45 días.”(folio 393) En el punto 7 de los términos y Condiciones del Servicio Google Analytics, relativo a Privacidad, consta que “Usted debe contar (de forma accesible a los Visitantes ) con una Política de privacidad, debiendo esa Política de privacidad advertir el uso por Su parte de cookies para recoger datos de tráfico y Usted tiene prohibido saltarse cualesquiera elementos e privacidad (Ej., un opt-out)) que sean parte del servicio.” (folio 417) La política de privacidad de Automattic informa que utiliza cookies para identificar y monitorizar a los visitantes, el uso que hacen del sitio web de Automattic y sus preferencias de acceso al sitio web. (folio 424) El apartado 1.2 de la política de privacidad de ZOPIM informa sobre el uso de las DÉCIMO: Los sitios web de NAVAS JOYEROS instalan y utilizan cookies, tanto propias como de terceros, no exentas del deber de información previa a su almacenamiento en los terminales de los usuarios con las siguientes finalidades: Analítica web, Preferencias, Publicidad, Servicios de video y Servicio de mapa interactivo. El sitio web de PRIVILEGIA utiliza cookies con las siguientes finalidades: Analítica web, Preferencias Publicidad, Servicios de video, Servicio de chat, Funcionamiento de la plataforma MAGENTO y Refresco de datos. (folios 456 al 480 y 539 al 541) UNDÉCIMO: NAVAS JOYEROS y PRIVILEGIA no informan a los visitantes de sus sitios web de forma clara y completa sobre el uso de dichas cookies y las finalidades pretendidas al recuperar los datos almacenados, condición que constituye, a su vez, un requisito al consentimiento informado requerido en el artículo 22.2 de la LSSI. (folios 481 al 528 y 539 al 541) DUODÉCIMO: De la documentación obrante en el expediente se comprueba que: 12.1 Con fecha 12 de noviembre de 2012 se constata que los sitios web www.navasjoyeros.com, www.navasjoyeros.es, www.navasjoyeros.eu, www.navasjoyeros.org, www.joyeriaydiamantes.com no ofrecen ningún tipo de información sobre la instalación, uso y finalidades de las cookies que se almacenan en los equipos terminales de los visitantes al acceder a los mismos. (folios 24, 50, 54, 83, 84, 86105, 106, 109136, 137, 141, 179,180 ) 12.2 Con fecha 12 de noviembre de 2012 en la Política de Uso del sitio web www.joyeriaydiamantes.com, bajo la rúbrica de “Reserva de Cookies”, se indicaba: “PRIVILEGIA LUXURY EXPERIENCE SL se reserva el derecho de utilizar cookies en la navegación del usuario por su website para facilitar la personalización y comodidad de la navegación. Siguiendo la política de protección de datos de la empresa, PRIVILEGIA LUXURY EXPERIENCE SL informa que las cookies se asocian al usuario anónimo y a su ordenador, y no proporcionan por sí el nombre y apellidos del usuario. El usuario tiene la posibilidad de configurar su navegador de modo que se le informe de la recepción de cookies, pudiendo, si así lo desea, impedir que sean instaladas en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 disco duro. No obstante, para el acceso a la website de PRIVILEGIA LUXURY EXPERIENCE SL no será preceptiva la instalación de cookies.” (folios 245 y 246) 12.3 Con fecha 23 de enero de 2013 en las “Condiciones de Uso” o “Condiciones Generales” de los sitios web www.navasjoyeros.com, www.navasjoyeros.es, www.navasjoyeros.eu, www.navasjoyeros.org y www.anillosdecompromisocondiamantes.com aparecía la misma información sobre “Reserva de Cookies” referida a NAVAS JOYEROS. Esta información se mantiene en dicho documento con fecha 22 de agosto de 2013. (folios 328 al 347, 658 al 661, 665 al 667, 672 al 675, 680 al 682 ) 12.4 Con fecha 12 de noviembre de 2012 y 23 de enero de 2013 se verifica que en la “Política de Privacidad y de Protección de Datos” del sitio web www.joyeria ydiamantes.com” bajo la rúbrica de “Cookies” aparecía la siguiente información. “Utilizamos cookies para mejorar la experiencia del usuario y para enviar contenidos personalizados. Las cookies nos permiten ofrecerle información personalizada o seleccionada por usted (sus favoritos), le evitan tener que volver a introducir la contraseña cada vez que visita nuestra página y llevan un seguimiento de su carrito de la compra. Además, nos permiten analizar mejor el tráfico de la página para mejorar nuestra oferta. Nuestra página web NO funcionará si desactiva las cookies en su navegador.” Esta información continúa apareciendo con fecha 22 de agosto de 2013 en dicho documento. (folios 237 al 239, y 353 al 355, 698 al 700) 12.5 Se constata que NAVAS JOYEROS y PRIVILEGIA con fechas 30 de julio y 22 de agosto de 2013, respectivamente, introdujeron en los sitios web www.navasjoyeros.com y www.joyeriaydiamantes.com un sistema de información de muestra una información mínima esencial sobre dichos dispositivos mediante un aviso que contiene un enlace que dirige a una segunda capa, en la cual aparece información adicional sobre las cookies. (folios 612 al 621, 637 al 640, 688 al 692, 703 y 722 al 731). Este sistema no consta como generalizado para el resto de sitios web de NAVAS JOYEROS hasta el 5 de septiembre de 2013. (folios, 768 al 789 y 817 al 839 ) DECIMOTERCERO: Con fecha 15 de noviembre de 2013 se comprueba que los sitios web www.navasjoyeros.es, www.navasjoyeros.eu, www.navasjoyeros.com y www.navasjoyeros.org funcionan correctamente configurado el navegador de la Instructora para no almacenar cookies. También se observa que el proceso de compra de un artículo en la página web www.joyeria ydiamantes.com no puede finalizarse, constatándose el 18 de noviembre de 2012 que la cookie frontend del dominio www.joyeriaydiamantes.com resulta necesaria para la funcionalidad del “Carrito de compras”. (folios 796 al 810 y 811 al 815 )>> TERCERO: La representación legal de las entidades recurrentes ha presentado en fecha 12 de febrero de 2014 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes argumentos: Primero: Con carácter previo a los alegatos referidos a las sanciones recurridas se indica que la denuncia formulada por el denunciante ante la AEPD, y que ha dado lugar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 al expediente sancionador ahora recurrido, trae causa de la querella presentada por las recurrentes ante el Juzgado de Instrucción nº 12 de Madrid por un presunto delito por calumnias e injurias, la cual tuvo entrada en el Decanato el 13/03/2012 y se tramita bajo el nº de Previas 1437/2012. Segundo: Respecto de las sanciones impuestas a NAVAS JOYEROS se alega: -En cuanto a la infracción al artículo 5.1 y 2 de la LOPD se defiende que en lugar de haberse acodado la apertura de procedimiento sancionador por el incumplimiento al deber de información debería haberse aplicado el artículo 45.6 de la LOPD. Afirma que se daban los dos presupuestos recogidos en dicho precepto para apercibir, al igual que se producía la concurrencia significativa de los criterios establecidos en el artículo 45.5 de dicha norma, ya que la recurrente corrigió la situación en tan sólo 24 horas, no cabiendo, por lo tanto, mayor diligencia para regularizar la situación tan pronto como se conoció. - En cuanto a la infracción al artículo 22.2 de la LSSI se señala que en la resolución recurrida consta reconocida la falta de intencionalidad de la recurrente en la comisión de la citada infracción, así como su diligencia en la subsanación de la situación, ya que desde el momento en que tuvo conocimiento de la posible infracción se adoptaron las medidas correctoras para la adaptación de los sitios web a la LSSI. - Subsidiariamente, se estima que ante la falta de dolo o culpabilidad en la actuación de la recurrente no procede la imposición de sanción alguna por las infracciones imputadas en aplicación de los principios penales que resultan de aplicables al procedimiento sancionador administrativo. - En caso de desestimarse las anteriores alegaciones, se postula que las sanciones impuestas deberían fijarse en la cuantía mínima de 900 € para la infracción al artículo 5.1 y 2 de la LOPD y en la cuantía de 500 € para la infracción al artículo 22.2 de la LSSI. Tercero: Respecto de la sanción impuesta a PRIVILEGIA se alega: - Se remiten a las alegaciones efectuadas respecto de la sanción impuesta a NAVAS JOYEROS IMPORTADORES, S.L. por la infracción al artículo 22.2 de la LSSI, haciendo hincapié en que en la resolución recurrida consta reconocida la falta de intencionalidad de la recurrente en la comisión de la citada infracción, así como su diligencia en la subsanación de la situación, puesto que desde el momento en que se tuvo conocimiento de la posible infracción se adoptaron las medidas correctoras para la adaptación de los sitios web a la LSSI. - Se insiste en la falta de concurrencia en su actuación de los requisitos de dolo o intencionalidad para sancionar a la recurrente, de conformidad con los principios del procedimiento penal aplicables al procedimiento sancionador administrativo, habida cuenta que se desconocía el posible incumplimiento de norma alguna y en atención a la absoluta diligencia con que se procedió para subsanar la situación. Cuarto: Nulidad de pleno derecho de la sanción acordada en aplicación del artículo 62.
  6. e)de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), por vulneración de lo establecido en el artículo 131 de dicha norma. La recurrente estima que aunque en la resolución impugnada se reconoce la ausencia de intencionalidad, de perjuicios económicos y la inexistencia de reincidencia, sin embargo, dichos criterios no se tienen en consideración en el momento de sancionar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la representación de ambas recurrentes, algunas de las cuales reproducen las alegaciones ya presentadas a lo largo del procedimiento PS/00321/2013, debe señalarse que éstas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III al V y VIII al X de la Resolución recurrida, tal como se transcribe a continuación: <<III En lo que respecta a la infracción en materia de protección de datos, la vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento (Art 43 LOPD), por tanto ambas figuras están sujetas al régimen sancionador de la LOPD El propio artículo 3 en su apartado
  7. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Conforme al artículo 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (…) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante un tratamiento de datos personales de los usuarios que facilitaban su nombre, correo electrónico y teléfono al cumplimentar los formularios de contacto y/o de opinión alojados en los sitios web de los que NAVAS JOYEROS es titular, por lo que dicha sociedad, en su condición de responsable tanto del fichero resultante como del tratamiento de dichos datos ostenta una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. En el supuesto examinado, se ha constatado que NAVAS JOYEROS recababa directamente de los afectados los mencionados datos personales sin facilitarles previamente, en el momento de la recogida, de modo expreso, preciso e inequívoco la información preceptiva en materia de protección de datos personales que señala el artículo 5 de la LOPD. En el citado artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21
  9. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  10. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  11. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  12. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  13. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  14. c)y
  15. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.(...)” La obligación que impone el apartado 1 del citado artículo 5 de la LOPD, por tanto, es la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento de datos, en función de aquélla. El apartado 2 del mismo precepto establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “... figuraran en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. Así, de acuerdo con lo establecido en el artículo 5 transcrito, NAVAS JOYEROS debe informar a los interesados de los que recabe datos a través de sus formularios sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere dicho precepto debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo que las mismas sean “determinadas, explícitas y legítimas”. El Tribunal Constitucional en la STC 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información previa como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “son elementos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele. Igualmente, en dicha Sentencia se realiza el siguiente pronunciamiento sobre la importancia del derecho a la información previa: “De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. Es decir, la exigencia de la información requerida en el artículo 5.1 de la LOPD constituye un derecho del afectado que, además, resulta un complemento previo para el ejercicio de otros derechos que la LOPD reconoce, como el de la prestación del consentimiento. En este caso, a través de las actuaciones efectuadas en la tramitación del procedimiento sancionador, se ha constatado que NAVAS JOYEROS incumplía el deber de información previa que establece el artículo 5.1 de la LOPD, toda vez que recogía datos personales de los interesados a través de los formularios habilitados en los diferentes sitios web de su titularidad sin incluir en los mismos la información en materia de protección de datos sobre la que se advierte en dicho precepto. Igualmente, de lo actuado se desprende que con posterioridad a la recepción del requerimiento de información de esta Agencia dicha empresa procedió a insertar al pie de los citados formularios una casilla en blanco asociada a la leyenda “He leído y acepto la política de privacidad”, la cual incluye un enlace que dirige a un “Aviso Legal” en el que se identifica a NAVAS JOYEROS como responsable del fichero en el que se incorporan los datos recogidos en los citados formularios. En dicho “Aviso Legal” se indica que la finalidad de la recogida es “atender sus consultas y enviarle información relacionada con la empresa que pudiera ser de interés”, proporcionándose la dirección ante la que los titulares de los datos pueden ejercitar sus derechos de acceso, rectificación, cancelación y oposición. En consecuencia, se considera que NAVAS JOYEROS modificó los formularios de recogida de datos personales insertando la información requerida en el artículo 5.1 de la LOPD a través del enlace que remitía al mencionado “Aviso Legal”, y cuyo acceso podía realizarse por los usuarios con anterioridad a la cumplimentación de los formularios y a la aceptación, en su caso, de la mencionada Política de Privacidad a través de la marcación de la casilla asociada al enlace. IV El artículo 44.2.
  16. c)de la LOPD considera infracción leve: “El incumplimiento del deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En este supuesto, ha quedado acreditado que NAVAS JOYEROS ha utilizado en los diferentes sitios web de su titularidad formularios de recogida de datos personales sin facilitar, previamente, a los afectados que cumplimentaban los mismos la información exigida en el artículo 5.1 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita.. V El artículo 45 de la LOPD, apartados 1 al 6, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  17. a)El carácter continuado de la infracción.
  18. b)El volumen de los tratamientos efectuados.
  19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  20. d)El volumen de negocio o actividad del infractor.
  21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. f)El grado de intencionalidad.
  23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21
  29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. 6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  32. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  33. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente caso, con independencia de que se trate de una infracción leve y el infractor no haya sido sancionado o apercibido con anterioridad, debe rechazarse la solicitud efectuada por la representación legal de NAVAS JOYEROS de aplicar la previsión contenida en el apartado 6 del artículo 45 LOPD que permite apercibir al sujeto responsable en los términos fijados en dicho precepto en lugar de imponer al mismo una multa. No hay que olvidar que se trata de una medida de carácter excepcional cuya adopción, en este supuesto, no se estima procedente en atención a la naturaleza de los hechos detectados, puesto que el incumplimiento del deber de información a los interesados a los que se solicitaban datos personales se venía produciendo por parte de NAVAS JOYEROS, según se detectó durante las actuaciones previas de investigación, en todos los sitios web de su titularidad, los cuales no incluían en los formularios de contacto contenidos en los mismos ninguna cláusula informativa que recogiera las advertencias a las que se refiere el artículo 5.1 de la LOPD. No obstante lo cual, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y en especial, la ausencia de intencionalidad, conforme prueba la diligencia mostrada por NAVAS JOYEROS en orden a subsanar la situación irregular derivada de la falta de información a los interesados respecto del tratamiento al que iban a ser sometidos los datos personales recogidos en los formularios de los sitios web de su titularidad, la falta de vinculación directa de la actividad del infractor con la realización de tratamientos de datos de carácter personal y la falta de reincidencia por la comisión de infracciones de la misma naturaleza, se estima procedente imponer a dicha sociedad una sanción en la cuantía de 1.500 euros €. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 VIII En el presente supuesto, a través de la valoración conjunta de las pruebas practicadas durante la tramitación del procedimiento, ha quedado acreditada la instalación y utilización por parte de las entidades NAVAS JOYEROS y PRIVILEGIA de cookies en los terminales de los usuarios que acceden a los sitios web titularidad de las mismas sin haberles facilitado, previamente, información clara y completa sobre el uso y finalidades de dichos dispositivos y sin contar, tampoco, con un consentimiento válidamente otorgado por no haberse obtenido mediando una información previa correcta. Aunque consta que ambas empresas adoptaron, después de recibir los requerimientos de información efectuados durante las actuaciones previas de inspección y ser notificados de la incoación de procedimiento sancionador, una serie de medidas tendentes a introducir, modificar y actualizar la información facilitada sobre cookies y obtener el consentimiento informado para su instalación y utilización, sin embargo, del análisis del contenido de la información facilitada se comprueba que tales modificaciones no resultan suficientes para garantizar el cumplimiento de las exigencias contenidas en el artículo 22.2 de la LSSI. De esta forma con fecha 12 de noviembre de 2012, momento que coincide con el inicio de las actuaciones inspectoras, se constata que los sitios web de NAVAS JOYEROS no incluían ningún tipo de información relativa a dichos dispositivos de almacenamiento. Igualmente, se comprueba que el sitio web www.joyeriaydiamantes.com, del que es titular PRIVILIGEA, ofrecía la siguiente información: En el documento de “Política de Uso”, bajo la rúbrica de “Reserva de Cookies”, se indicaba: “PRIVILEGIA LUXURY EXPERIENCE SL se reserva el derecho de utilizar cookies en la navegación del usuario por su website para facilitar la personalización y comodidad de la navegación. Siguiendo la política de protección de datos de la empresa, PRIVILEGIA LUXURY EXPERIENCE SL informa que las cookies se asocian al usuario anónimo y a su ordenador, y no proporcionan por sí el nombre y apellidos del usuario. El usuario tiene la posibilidad de configurar su navegador de modo que se le informe de la recepción de cookies, pudiendo, si así lo desea, impedir que sean instaladas en su disco duro. No obstante, para el acceso a la website de PRIVILEGIA LUXURY EXPERIENCE SL no será preceptiva la instalación de cookies.” (folios 245 y 246) En el documento de “Política de Privacidad y de Protección de Datos”, bajo la rúbrica de “Cookies”, se indicaba: “Utilizamos cookies para mejorar la experiencia del usuario y para enviar contenidos personalizados. Las cookies nos permiten ofrecerle información personalizada o seleccionada por usted (sus favoritos), le evitan tener que volver a introducir la contraseña cada vez que visita nuestra página y llevan un seguimiento de su carrito de la compra. Además, nos permiten analizar mejor el tráfico de la página para mejorar nuestra oferta. Nuestra página web NO funcionará si desactiva las cookies en su navegador.” Más adelante, una vez recibidos los requerimientos de información de la Inspección de la Agencia, con fecha 23 de enero de 2013, se constata que la información sobre “Reserva de Cookies” anteriormente citada pasó a insertarse también en las “Condiciones de Uso” o “Condiciones Generales” de los sitios web de NAVAS JOYEROS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Se observa que la información contenida en los citados apartados no sólo no define las páginas web ni identifica si son propias o de terceros, refiriéndose de forma vaga y genérica a algunas de las finalidades a las que responde su instalación. Tampoco advierte sobre los mecanismos de desactivación de cookies ni sobre el modo de revocar el consentimiento. Además, teniendo en cuenta el diseño y mecánica de las páginas web analizadas se considera que la información anteriormente señalada se facilitaba de forma poco accesible y sin suficiente visibilidad para el usuario, ya que estaba distribuida en diferentes apartados de distintos documentos cuya denominación (“Condiciones de Uso”, “Política de Uso” o “Política de Privacidad”) no permitía su fácil localización. Finalmente, y con posterioridad a la notificación del acuerdo de inicio de procedimiento sancionador, con fechas 30 de julio y 22 de agosto de 2013 se verifica que las entidades imputadas optan por utilizar el sistema de información por capas. Resulta conveniente precisar que, con carácter general, dicho sistema opta por ofrecer una información esencial en una primera capa, cuando se accede al sitio web o aplicación, y una información adicional contenida en una segunda capa a la que se accede mediante un enlace. La primera capa debería incluir la siguiente información mínima: - Advertencia sobre el uso de cookies no exceptuadas que se instalan al navegar por los sitios web o al utilizar el servicio solicitado. - Identificación de las finalidades de las cookies que se instalan, con información sobre si se trata de cookies propias o de terceros. -Advertencia, en su caso, de que si se realiza una determinada acción se entenderá que el usuario acepta el uso de las cookies. - Un enlace a la segunda capa informativa en la que se indica una información más detallada. Esta información es necesaria para que el usuario conozca el uso de estos dispositivos, su finalidad, los responsables de su utilización y la conducta de la que se inferirá la prestación del consentimiento, así como para que éste pueda obtener información adicional. En la segunda capa se debería incluir la siguiente información: - Definición y función de las cookies. - Tipo de cookies que utiliza la página web y su finalidad. - Forma de desactivar o eliminar las cookies descritas y forma de revocación del consentimiento ya prestado. - Identificación de quienes utilizan las cookies, incluidos los terceros con lo que el editor haya contratado la prestación de un servicio que suponga el uso de cookies. Así, partiendo de la información que se entiende exigible para cada uno de los niveles anteriormente indicados, en la primera capa de información que se visualiza al acceder a las páginas web de NAVAS JOYEROS se muestra un aviso sobreimpreso que indica que : “Al continuar navegando entendemos que acepta el uso de las cookies en nuestro sitio web. Más información. Aceptar.” (folios 619 al 621, 637 al 655, 688 al 704 768 al 789) A la vista de su contenido se observa que no indica si el uso de las cookies se realiza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 por el propio editor del sitio o por tercero y tampoco identifica las finalidades de las esencial en este primer nivel. A su vez, en la primera capa de información que se visualiza al acceder al sitito web www.joyeriaydiamantes.com de PRIVILEGIA aparece un aviso sobreimpreso que indica que: “Navas Joyeros le informa para cumplir fielmente con el Real Decreto-ley 13/2012 de 30 de marzo que nuestro sitio web utiliza Cookies tanto propias como de terceros para recopilar información estadística sobre su navegación para poder mostrarle publicidad relacionada con sus preferencias, pudiendo deshabilitar esta opción desde su navegador. Política de cookies. Aceptar” (folio 688) Estos avisos, que contienen la información mínima exigible en la primera capa, se mantienen visibles hasta que el usuario acepta la “Política de Cookies” o realiza la acción requerida a los efectos de la obtención del consentimiento. Se accede a la segunda capa de información a través de los enlaces contenidos en los mencionados avisos bajo la rúbrica de “Más información”, en el caso de NAVAS JOYEROS, y “Política de Cookies”, en el caso de PRIVILEGIA, los cuales redirigen a un documento denominado “Política de cookies“, que también resulta accesible desde otros enlaces habilitados en las páginas de Inicio o en otros documentos como las “Condiciones de Uso” o “Aviso Legal”. El sitio web www.joyeria ydiamantes.com de PRIVILEGIA ofrece información en la segunda capa (folios 688, 689, 691, 692, 703 y 704): la siguiente “Política de cookies PRIVILEGIA LUXURY EXPERIENCE sl por su propia cuenta o la de un tercero contratado para la prestación de servicios de medición, pueden utilizar cookies cuando un usuario navega por el sitio web. Las Cookies se asocian únicamente a un Usuario anónimo y su ordenador y no proporcionan referencias que permitan deducir datos personales del Usuario Las Cookies son archivos que el sitio web o la aplicación, que utiliza el usuario, instala en su navegador o en su dispositivo (Smartphone, tableta o televisión conectada) durante su recorrido por las páginas o por la aplicación, y sirven para almacenar información sobre tu visita. Como la mayoría de los sitios en internet, los portales web de PRIVILEGIA LUXURY EXPERIENCE sl utilizan Cookies para:  Asegurar que las páginas web pueden funcionar correctamente  Almacenar sus preferencias, como el idioma que ha seleccionado o el tamaño de letra.  Conocer tu experiencia de navegación.  Recopilar información estadística anónima, como qué páginas has visto o cuánto tiempo has estado en nuestros medios. Las Cookies, en función de su permanencia, pueden dividirse en Cookies de sesión o permanentes. Las primeras expiran cuando el Usuario cierra el navegador. Las segundas expiran en función de cuando se cumpla el objetivo para el que sirven o bien cuando se borran manualmente. Adicionalmente, en función de su objetivo, las Cookies puedes clasificarse de la siguiente forma: herramientas que se encuentran en los Servicios, por lo que no tiene que volver a configurar el servicio cada vez que usted nos visita. A modo de ejemplo, en esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 tipología se incluyen: · Ajustes de volumen de reproductores de vídeo o sonido. · Las velocidades de transmisión de vídeo que sean compatibles con su navegador. · Los objetos guardados en el “carrito de la compra” en los Servicios de Ecommerce tales como tiendas. qué país se encuentra cuando se solicita un Servicio. Esta Cookie es totalmente anónima, y sólo se utiliza para ayudar a orientar el contenido a su ubicación. · Mantener al Usuario identificado de forma que, si cierra un Servicio, el navegador o el ordenador y en otro momento u otro día vuelve a entrar en dicho Servicio, seguirá identificado, facilitando así su navegación sin tener que volver a identificarse. Esta funcionalidad se puede suprimir si el Usuario pulsa la funcionalidad “cerrar sesión”, de forma que esta Cookie se elimina y la próxima vez que entre en el Servicio, el Usuario tendrá que iniciar sesión para estar identificado. Adicionalmente, algunos Servicios pueden utilizar conectores con redes sociales tales como Facebook o Twitter. Cuando el Usuario se registra en un Servicio con credenciales de una red social, autoriza a la red social a guardar una Cookie persistente que recuerda su identidad y le garantiza acceso a los Servicios hasta que expira. El Usuario puede borrar esta Cookie y revocar el acceso a los Servicios mediante redes sociales actualizando sus preferencias en la red social que específica. herramienta de un proveedor externo ( Omniture, Netscope, Comscore y similares podrán añadirse a este listado en caso de que varíen en relación con los actuales) genera una Cookie analítica en el ordenador del Usuario. Esta Cookie sirve para identificar de forma anónima al visitante. Los objetivos principales que se persiguen son: · Permitir la identificación anónima de los Usuarios navegantes a través de la “Cookie” (identifica navegadores y dispositivos, no personas) y por lo tanto la contabilización aproximada del número de visitantes y su tendencia en el tiempo. · Identificar, de forma anónima, los contenidos más visitados y por lo tanto más atractivos para los Usuarios · Saber si el Usuario que está accediendo es nuevo o repite visita. los anuncios mostrados a cada Usuario anónimo. Entre otros, se almacena la duración o frecuencia de visualización de posiciones publicitarias, la interacción con las mismas, o los patrones de navegación y/o comportamientos del Usuario ya que ayudan a conformar un perfil de interés publicitario. De este modo, permiten ofrecer publicidad afín a los intereses del Usuario. las Webs de PRIVILEGIA LUXURY EXPERIENCE sl en sus Servicios, las Webs de PRIVILEGIA LUXURY EXPERIENCE sl ofrecen a sus anunciantes la opción de servir anuncios a través de terceros (“Ad-Servers”). Las empresas que generan estas Cookies tienen sus propias políticas de privacidad. Para nuestro servicio de chat utilizamos cookies de terceros, pueden ver su aplicación y política de privacidad en la siguiente dirección:https://www.zopim.com/privacy#cookie El uso de Cookies nos permite optimizar su navegación y realizar estudios estadísticos y analíticos, adaptando la información y los servicios ofrecidos a sus intereses, para proporcionarle una mejor experiencia siempre que nos visite. Los sitios web de NAVAS JOYEROS utilizan Cookies para funcionar, adaptar y facilitar al máximo la navegación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 del Usuario. PRIVILEGIA LUXURY EXPERIENCE sl utiliza Google Analytics, un servicio analítico de web prestado por Google, Inc., una compañía de Delaware cuya oficina principal está en 1600 Amphitheatre Parkway, Mountain View (California), CA 94043, Estados Unidos ("Google"). Google Analytics utiliza "Cookies", que son archivos de texto ubicados en su ordenador, para ayudar al website a analizar el uso que hacen los usuarios del sitio web. La información que genera las Cookies acerca de su uso del website (incluyendo su dirección IP) será directamente transmitida y archivada por Google en los servidores de Estados Unidos. Google usará esta información por cuenta nuestra con el propósito de seguir la pista de su uso del website, recopilando informes de la actividad del website y prestando otros servicios relacionados con la actividad del website y el uso de Internet. Google podrá transmitir dicha información a terceros cuando así se lo requiera la legislación, o cuando dichos terceros procesen la información por cuenta de Google. Google no asociará su dirección IP con ningún otro dato del que disponga Google. Puede Usted rechazar el tratamiento de los datos o la información rechazando el uso de Así mismo PRIVILEGIA LUXURY EXPERIENCE sl informa a sus usuarios que: - La captación de la información sobre el uso de este sitio web por nuestros usuarios a través de Google Analytics sólo la hace Google en su propio nombre (y no lo hace ni en nombre ni por cuenta de PRIVILEGIA LUXURY EXPERIENCE sl, no teniendo PRIVILEGIA LUXURY EXPERIENCE sl acceso en ningún momento a tal información (sino tan sólo a información agregada que le facilita posteriormente Google y que no está asociada a ninguna dirección IP). Es Google quien determina la finalidad del tratamiento y uso de la información captada, así como el funcionamiento y duración de las Cookies. - Google se compromete a mantener la información almacenada en sus sistemas informáticos de forma segura. Es por ello que ha implementado una estrategia de seguridad de Protección de datos: principios de seguridad y privacidad de los datos del usuario mediante la configuración de su navegador. Las Cookies utilizadas en este sitio web tienen carácter temporal. En ningún caso se utilizarán Cookies para recoger información de carácter personal. Al navegar y continuar en nuestro sitio web estará consintiendo el uso de las Cookies en las condiciones contenidas en la presente Política de Cookies. El usuario tiene la posibilidad de configurar su navegador para ser avisado de la recepción de Cookies y para impedir su instalación en su equipo.” A continuación, te indicamos los links de los principales navegadores y dispositivos para que dispongas de toda la información para consultar cómo gestionar las Cookies en tu navegador. · · hl=es&answer=95647 · Explorer:http://windows.microsoft.com/es-es/windows7/how-to-managecookies-in-internet-explorer-9 · · Opera: http://help.opera.com/Windows/11.50/es-ES/cookies.html Finalmente, puede usted dirigirse al portal Your Online Choices dónde además de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 encontrar información útil, podrá configurar, proveedor por proveedor, sus preferencias sobre las cookies.” Esta información también aparece insertada en la segunda capa de información de los sitios web de NAVAS JOYEROS, aunque referido a esa empresa y excluyendo las observaciones al servicio de chat. (folios 637 al 640 , 768 al 789 y 817 al 839 ) Del análisis de la información incluida por ambas entidades en esta segunda capa se observa que no precisa con suficiente claridad si la tipología de cookies incluidas en el documento se corresponde con las realmente utilizadas en los sitios web de dichas sociedades y con las finalidades descritas en las mismas. Por lo tanto, no contiene una información adecuada sobre el tipo de cookies que efectivamente se utilizan y sus finalidades que permita conocer al usuario de una forma apropiada el uso que se dará a la información recuperada, tampoco se asocia claramente su uso con el propio editor o con terceros que también deben ser identificados, habiéndose constatado que sólo se hace referencia a las cookies del servicio Google Analytics de Google Inc sin citar otras cookies de terceros cuya descarga también se ha comprobado se realiza en los terminales de los usuarios, como son, por ejemplo, las de Automattic Inc, Quantcast, You Tube LLc, Zopim Technologies Pte Ltd, Seevolutión Inc. De todo lo cual se concluye que el sistema de capas utilizado por ambas entidades no contiene la información que se considera necesaria para estimar que resulta completa y clara, en especial en cuanto a la tipología de cookies realmente utilizadas, finalidad de las mismas e identidad de quienes instalan y utilizan las cookies, lo que invalidaría el consentimiento que pueda ser prestado por los usuarios al “Aceptar” la “Política de En resumen, tanto NAVAS JOYEROS como PRIVILEGIA infringían el artículo 22.2 de la LSSI en el momento en que se iniciaron las actuaciones de la Agencia, sin que las modificaciones adoptadas cumplan el citado precepto en los términos expuestos en el presente fundamento de derecho. IX El artículo 38.4.
  34. g)de la LSSI, considera infracción leve: ”
  35. g)El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya infracción grave.” En el presente supuesto ha quedado acreditado que se producen las circunstancias que tipifica el citado precepto, ya que tanto NAVAS JOYEROS como PRIVILEGIA utilizan web de su titularidad sin informarles, de forma clara y completa, sobre el uso de las de las mismas. Igualmente, ha quedado probado que el uso de cookies por las mencionadas entidades se lleva a cabo sin mediar el consentimiento informado al que se refiere el artículo 22.2 de la LSSI, aunque la vulneración de este requisito previo a la instalación de Hay que tener en cuenta que en ámbito administrativo sancionador rigen los principios de legalidad y tipicidad recogidos en los artículos 127 y 129 de la Ley 30/1999, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 Procedimiento Administrativo Común, que obligan a circunscribirse al sentido literal del precepto y a la tipificación contemplada respecto del mismo, sin que en ningún caso quepa efectuar una interpretación en sentido amplio. Por lo tanto, no puede sancionarse una conducta que no está contemplada en el tipo sancionador fijado por el artículo 38.4.
  36. g)de la LSSI, ya que este precepto hace referencia al establecimiento de un procedimiento de rechazo del tratamiento de datos. X A tenor de lo establecido en el artículo 39.1.
  37. c)de la LSSI, las infracciones leves podrán ser sancionadas con multa de hasta 30.000 €, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma que dispone: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  38. a)La existencia de intencionalidad.
  39. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  40. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  41. d)La naturaleza y cuantía de los perjuicios causados.
  42. e)Los beneficios obtenidos por la infracción.
  43. f)Volumen de facturación a que afecte la infracción cometida”. Tampoco puede ser atendida la solicitud relativa a la aplicación del artículo 45.6 de la LOPD en lo que se refiere a la infracción derivada del incumplimiento de lo dispuesto en el artículo 22.2 de la LSSI, toda vez que el régimen sancionador que opera para las infracciones a los preceptos contemplados en la LSSI es el previsto en el Título VII de la Ley 34/2002, de 11 de julio, el cual no contempla la posibilidad recogida en el citado artículo de la LOPD de que el órgano sancionador pueda acordar, de forma excepcional, un apercibimiento con medidas correctoras en sustitución de la imposición de multa. A mayor abundamiento, dicho criterio se ajusta al principio de tipicidad, habida cuenta que la acción imputada queda subsumida en un tipo descrito y sancionado por la LSSI (principio de legalidad), produciéndose en este caso la concurrencia de todos los elementos integrantes de la conducta descrita en dicha Ley. Sentado lo anterior, y a los efectos de la aplicación del principio de proporcionalidad en la graduación de las sanciones a imponer recogidos en el artículo 40 de la LSSI, se considera que en este caso concurren como circunstancias atenuantes los siguientes criterios: supuesto
  44. a)ausencia de intencionalidad, como muestra que tan pronto como NAVAS JOYEROS y PRIVILEGIA conocieron la irregularidad detectada adoptaron, a fin de dar respuesta a las exigencias del artículo 22.2 de la LSSI, una serie de medidas tendentes a incluir mecanismos de información previa sobre cookies en los sitios web de su titularidad; y supuestos
  45. e)y f), toda vez que de lo actuado no ha quedado probada la obtención de beneficios por dichas entidades a raíz de la infracción descrita, al igual que tampoco se ha acreditado que la facturación de PRIVIGELIA generada por la venta on-line de su página web se encuentre vinculada a la comisión de la citada infracción. En consecuencia, en aplicación del principio de proporcionalidad procede imponer una sanción de 3000 € a NAVAS JOYEROS y otra sanción de 500 € a PRIVILEGIA por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 vulneración de lo previsto en el artículo 22.2 de la LSSI, habida cuenta que ha quedado acreditada la instalación de cookies no exentas en los equipos terminales de los usuarios que visitan las páginas web titularidad de ambas entidades sin que éstas proporcionen a los mismos una información clara y completa sobre el uso y finalidades de las cookies que se descargan en sus terminales.>> III Asimismo, en cuanto a los argumentos esgrimidos por la representación de ambas entidades se significa lo siguiente: En primer lugar, y en lo que respecta a los alegatos invocados por NAVAS JOYEROS en cuanto a la infracción del artículo 5.1 y 2 de la LOPD, se precisa que en el Fundamento de Derecho V de la resolución recurrida ya se justificaban los motivos por los que esta Agencia entendía que no procedía aplicar la previsión de apercibir contenida en el artículo 45.6 de la LOPD en relación con dicha infracción, y que no se sustentaban “en la comisión de la infracción” como afirma la recurrente, quien omite cualquier referencia a las consideraciones en virtud de las cuales se rechazó su pretensión. Así, en la resolución recurrida se indicaba que se trataba de una medida de carácter excepcional que en atención a la naturaleza de los hechos detectados no procedía aplicar en el caso analizado, habida cuenta que el incumplimiento del deber de información a los interesados a los que se solicitaban datos personales se venía produciendo, hasta que se subsanó la situación, en todos los sitios web titularidad de NAVAS JOYEROS. Téngase en cuenta que hasta el 21 de diciembre de 2012 no consta, tal y como se refleja en el Hecho Probado Cuarto de la Resolución, que en los formularios de contacto contenidos en los citados sitios web se incluyera ninguna cláusula informativa que recogiera las advertencias a las que se refiere el citado artículo 5.1 de la LOPD. En relación con la aplicabilidad del apercibimiento la Audiencia Nacional, en su sentencia de fecha 29 de noviembre de 2013, Recurso nº 455/2011 ha señalado lo siguiente: “En definitiva, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un mero requerimiento para la adopción de determinadas medidas correctoras, al que se denomina “apercibimiento”, que carece de naturaleza sancionadora. Consecuentemente, el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. A ello debe añadirse que el fundamento de la atribución de tal potestad administrativa no puede ser otra más que la constatación de que bajo ciertas circunstancias que contempla el precepto, la cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de hecho resulta tan extraordinaria que la conducta no merece la imposición de sanción ni, por ende, es objeto del reproche social que acompaña a esta medida.” En segundo lugar, y en lo que respecta a los alegatos esgrimidos por ambas recurrentes en cuanto a la subsanación de la situación irregular derivada de la infracción del artículo 22.2 de la LSSI, efectivamente, en la resolución recurrida se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 recogen detalladamente las diversas medidas correctoras adoptadas por NAVAS JOYEROS y PRIVILEGIA a los efectos de informar sobre los dispositivos de almacenamiento y recuperación de datos que se instalaban en los equipos terminales de los visitantes que accedían a los respectivos sitios web de su titularidad. Ahora bien, también en el Fundamento de Derecho VIII de dicha resolución se señalaba que “del análisis del contenido de la información facilitada se comprueba que tales modificaciones no resultan suficientes para garantizar el cumplimiento de las exigencias contenidas en el artículo 22.2 de la LSSI”. Todo ello sin que conste que dicha situación irregular haya variado y sin que deba confundirse el correcto funcionamiento de los sitios web cuando se configura el navegador del usuario para rechazar la instalación de completa sobre su utilización, en particular sobre los fines del tratamiento. En tercer lugar, debe rechazarse el alegato referente a la improcedencia de las sanciones impuestas a ambas recurrentes por no concurrir en su conducta el requisito indispensable de dolo o culpa en su actuación. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador, señalándose en el artículo 130.1 de la LRJPAC que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Por lo tanto, tal y como se indica en la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, “(…) si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Sobre esta cuestión, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto. En este orden de ideas si bien, en el presente caso, no puede acreditarse una conducta dolosa por parte de las entidades recurrentes, sin embargo, si se aprecia la existencia de responsabilidad en la comisión de las infracciones imputadas a título de culpa. No hay que olvidar que NAVAS JOYEROS como responsable del tratamiento de los datos personales recabados a través de los formularios obrantes en los sitios web de su titularidad debe asegurarse del cumplimiento de los requisitos de información previa recogidos en el artículo 5.1 de la LOPD. No obstante lo anterior, dicha empresa no ha acreditado haber actuado, con anterioridad a la recepción del requerimiento de información que le fue enviado por esta Agencia el 11 de diciembre de 2012, con el deber de cuidado que le era exigible al no proporcionar en sus sitios web el tipo de información requerida en el mencionado artículo de la normativa de protección de datos. Asimismo, ambas empresas, como prestadoras de servicios de la sociedad de la información, deben asegurarse del cumplimiento del requisito de informar, en forma clara y completa, a los usuarios que acceden a sus respectivos sitios web sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 utilización y finalidades de los dispositivos de almacenamiento y recuperación de datos que se almacenan en sus terminales, tal y como establece el artículo 22.2 de la LSSI. Sin embargo, ninguna de las recurrentes ha justificado haber actuado con la diligencia y rigor que le eran exigibles para proporcionar en los citados sitios web la información requerida en dicho precepto con el alcance previsto en el mismo. Tampoco consta que se hayan subsanado las deficiencias observadas en la resolución recurrida en relación con la información por capas sobre cookies actualmente ofrecida en los sitios web titularidad de ambas sociedades. Por todo lo cual, la AEPD considera que a las entidades recurrentes les era exigible otra conducta diferente de la que han mantenido, y ello a fin de garantizar que los usuarios de los sitios web estén adecuadamente informados acerca de las cookies utilizadas y las finalidades para las que éstas se tratan y dispongan de mecanismos que les permitan preservar su privacidad. En cualquier caso, sin perjuicio de la acreditada responsabilidad de NAVAS JOYEROS y PRIVILEGIA en la comisión de las citadas infracciones, y a los efectos de graduar la cuantía de las sanciones a imponer, esta Agencia apreció en la resolución recurrida, junto con el resto de criterios de los artículos 45.4 de la LOPD y 40 de la LSSI que aparecen citados en la misma, la concurrencia de la ausencia de intencionalidad en sus conductas a la vista de la rapidez con que adoptaron medidas en orden a subsanar las situaciones irregulares derivadas de las infracciones cuya posible comisión se imputaba. Es por ello que, habiéndose razonado en los Fundamentos de Derecho V y X los criterios con arreglo a los cuales se graduaban las cuantías de las sanciones a imponer por la comisión de las infracciones imputadas a cada una de las entidades recurrentes, y encontrándose las multas acordadas por la comisión de las infracciones al artículo 5.1 de la LOPD y 22.2 de la LSSI, dentro del margen inferior de las escalas correspondientes a las sanciones previstas para las infracciones leves de las citadas normativas, esta Agencia rechaza el alegato consistente en que se ha vulnerado el principio de proporcionalidad contemplado en el artículo 131 de la Ley 30/1992 por considerar que las multas fijadas en la resolución se ajustan a la gravedad de los hechos constitutivos de dichas infracciones, desestimándose, consecuentemente, la petición de NAVAS JOYEROS de reducir las sanciones a las cuantías señaladas por ésta en el recurso de reposición. Al hilo de la anterior afirmación debe recalcarse que la aplicación del principio de proporcionalidad en función de los criterios indicados en la resolución no supone, como afirman las entidades recurrentes, que la resolución ahora recurrida sea nula de pleno derecho de conformidad con lo dispuesto en el artículo 62.
  46. e)de la LRJPAC, máxime cuando dicha resolución se ha dictado de conformidad con el procedimiento legalmente establecido en el Capítulo III del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, LA Ley 30/1992, de 26 de noviembre y el Real Decreto 1398/1993, de 4 agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora. IV En consecuencia, en el presente recurso de reposición, las entidades recurrentes no han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por NAVAS JOYEROS IMPORTADORES, S.L. y PRIVILEGIA LUXURY EXPERIENCE, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de enero de 2014, en el procedimiento sancionador PS/00321/2013. SEGUNDO: NOTIFICAR la presente resolución a las entidades NAVAS JOYEROS IMPORTADORES, S.L. y PRIVILEGIA LUXURY EXPERIENCE, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.