REPOSICION-PS-00393-2022

1/6  Procedimiento Nº.: EXP202201704 (PS/00393/2022) Recurso de Reposición Nº RR/00110/2023 Examinado el recurso de reposición interpuesto por la entidad INFINITY ECOM S.L. con CIF.: B42993956, titular de la página web, ***URL.1 (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento, PS/00393/2021, por vulneración a lo estipulado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y en la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes: HECHOS PRIMERO: Con fecha 18/01/23, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00393/202, abierto a la entidad INFINITY ECOM S.L., y que fue notificada el día 23/01/23, por el artículo 13 del RGPD, por la falta de información necesaria en la “Política de Privacidad” en su página web, con una sanción de 5.000 euros (cinco mil euros) y por el artículo 22.2 de la LSSI, por las irregularidades detectadas en su página web respecto de la “Política de Además, se ordenaba a la entidad INFINITY ECOM S.L. que implante, en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, respecto del artículo 13 del RGPD, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/ 00393/2022, quedó constancia de los siguientes: Con fecha 09/05/22 se constata por parte de esta Agencia las siguientes características sobre el su “Política de Privacidad” y sobre su “Política de Cookies”: a).- Sobre la “Política de Privacidad”: Si se accede a la “Política de Privacidad” a través del enlace situado en la parte inferior de la página principal, se accede a una nueva página ***URL.2 , donde se proporciona información sobre: la información personal que recopilan; cómo utilizan dicha información personal; cómo comparten esa información; sobre los derechos que asisten al usuario y como contactar con el responsable de la página web. Sobre la identificación del responsable del tratamiento de los datos personales obtenidos a través de la web, solamente se proporcionaba una dirección de correo electrónico de contacto, faltado datos básicos de identificación como pueden ser, el nombre o denominación social, el CIF o NIF y dirección de la sede social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 b).- Sobre la Política de Cookies: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado, que se utilizan cookies que no son técnicas o necesarias (cookies de rendimiento: _landing_page; shopify_sa_t; _shopify_y; _shopify_s; _shopify_sa_p; _y; _s; __kla_id ; cookies de orientación:_pin_unauth; test_cookie; IDEMás; _gcl_au; _fbp 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Este sitio web utiliza cookies para garantizar que obtenga la mejor experiencia en nuestro sitio web”. <<Más>> <<De acuerdo>> Si se cliquea en el enlace <<Más>>, la web despliega la página de “Política de Privacidad” ***URL.3 indicada anteriormente. No existe “Política de Cookies”. La única información sobre cookies proporcionada por la web se encuentra en la página de la “Política de Privacidad”: “(…) Recopilamos información del dispositivo utilizando las siguientes tecnologías: - Las "cookies" son archivos de datos que se colocan en su dispositivo o computadora y que a menudo incluyen un identificador único anónimo. Para obtener más información sobre las No existe ningún mecanismo que posibilite rechazar las cookies o gestionarlas de forma granular a través de un panel de control. TERCERO: Con fecha 20/02/23, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la entidad INFINITY ECOM S.L., en el cual, entre otra, se alega lo siguiente: PRIMERA.- Manifestamos total disconformidad en la sanción por falta de políticas de Cookies, ya que en el propio expediente desarrollado y elaborado por la AEPD menciona las distintas Cookies que utilizaba la página web en su momento. La web únicamente tenía un problema técnico de redirección, pero no de falta de contenido. Reproducimos en el presente escrito las Cookies que la AEPD describe en el propio expediente. Por lo tanto, podemos concluir que la página web sí que disponía de forma visible las distintas Cookies que utilizaba, los dominios, así como las descripciones informativas de las mismas. De no haber estado visible en la web la propia AEPD no podría haberlas obtenido y adjuntarlas en el presente expediente. Como se ha mencionado anteriormente el único problema existente en el momento fue un fallo técnico de redirección. SEGUNDA.- En lo relativo a la identidad y los datos de contacto del responsable, la empresa estableció en todo momento un email para que cualquier usuario pudiera ponerse en contacto con la empresa y ejercitar todos y cada uno de los derechos que se describían en las propias políticas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 TERCERA.- La mercantil ha tenido la voluntad de actuar conforme a ley y proporcionar a todos los usuarios las máximas garantías para salvaguardar sus derechos. Como se puede comprobar, desde el inicio, la sociedad ha proporcionado toda la información en su página web. No es hasta la fecha del último requerimiento cuando la sociedad ha tenido noticias de que existía un procedimiento de sanción contra la misma. A mayor abundamiento, de haberlo sabido habría subsanado cualquier requerimiento por parte de la AEPD en el mismo momento. Prueba de ello, se pueden observar en las siguientes capturas que muestra la página web en la actualidad. En ningún momento la sociedad ha tenido la voluntad de vulnerar la normativa Europea en materia de protección de datos, es por ello por lo que dada la buena Praxis que ha venido demostrando la mercantil no es de recibo que se le intente poner una sanción de tan alta cantidad por un fallo técnico de redirección. CUARTA.- El comité Europeo de Protección de datos ya se manifestó en el Dictamen 4/2007 sobre el concepto de datos personales, que “un resultado no deseado sería el de terminar aplicando las normas de protección de datos a situaciones que, en principio, no deberían estar cubiertas por estas normas; y para las que no fueron concebidas por el legislador”. En definitiva, de lo que se trata es de una cuestión de proporcionalidad en la aplicación de la normativa que “provoque una carga excesiva o incluso consecuencias absurdas” como ha manifestado el Comité Europeo de Protección de Datos en el Dictamen 4/2007. El acuerdo de Inicio del presente procedimiento basa sus argumentos en la falta de información a los usuarios por parte de la empresa cuando en realidad lo que se ha venido produciendo ha sido un error en técnico en la página web. La voluntad de INFINITY ECOM S.L, ha sido la de cooperar en todo momento con la Agencia Española de Protección de datos y poder solventar todas aquellas dudas que puedan surgir, así como esclarecer todos los hechos. De haber recibido la notificación previamente al inicio del presente expediente, la mercantil habría actuado con máxima celeridad. Por todo lo expuesto, SOLICITO que se tenga por presentado en tiempo y forma las alegaciones concernientes. SOLICITO que se dé por finalizado el expediente al haber quedado debidamente demostrado que la mercantil cumplía y cumple con cada uno de los preceptos legales en materia de protección de datos. SOLICITO que se anulen dichas sanciones ya que como se ha demostrado la mercantil tenía cumplía con la normativa legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 FUNDAMENTOS DE DERECHO I Competencia. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: a).- Sobre la manifestación hecha en que no fue hasta la fecha del último requerimiento cuando la sociedad tuvo noticias de que existía un procedimiento de sanción contra la misma, se debe indicar lo siguiente: Con fecha 17/10/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada y según consta en los sistemas de la AEPD, se puso a disposición de la entidad reclamada en su sede electrónica el 18/10/22, constando que no se tuvo acceso al mismo. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal a la dirección: C/ MIGUEL HUE, 1 - 1 POLÍGONO SUR 11408 JEREZ DE LA FRONTERA CÁDIZ que fue devuelto a destino con fecha 28/10/22 , con el mensaje de “desconocido” Con fecha 03/11/22 se realizó la notificación del acuerdo de inicio mediante anuncio en el Tablón Edictal único del Boletín Oficial del Estado, de acuerdo con el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) por lo que la notificación se practicó válidamente, dándose por efectuado el trámite conforme a lo dispuesto en el art. 41 de la citada Ley. b).- Sobre las alegaciones de la entidad en las que manifiesta que “la identidad y los datos de contacto del responsable, la empresa estableció en todo momento un email de contacto” indicar lo siguiente: Cuando se accedió a la “Política de Privacidad” ***URL.2 , se constató que se proporciona información sobre, la información recopilaba la web; cómo utilizaban dicha información o cómo compartían dicha información pero se observó que no se informaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 convenientemente de los derechos que asistían a los usuarios de la página web, respecto al tratamiento de sus datos personales, ni se les informaba de que tenían derecho a interponer reclamación, en este caso, ante la AEPD. Sobre la identificación del responsable del tratamiento de los datos personales obtenidos a través de la web, solamente se proporcionaba una dirección de correo electrónico de contacto, faltado datos básicos de identificación como pueden ser, el nombre o denominación social, el CIF o NIF y dirección de la sede social. c).- Respecto de las deficiencias detectadas en la “Política de Cookies” se detectó que: 1.- Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se detectó que se utilizaban cookies que no eran técnicas o necesarias sin el previo consentimiento del usuario (de rendimiento: _landing_page; shopify_sa_t; _shopify_y; _shopify_s; _shopify_sa_p; _y; _s; __kla_id y de orientación _pin_unauth; test_cookie; IDEMás; _gcl_au; _fbp) Con independencia de que la web informara de las distintas cookies que utilizaba, tal y como manifiesta en las alegaciones, es necesario indicar que la normativa, en concreto el artículo 22.2 de la LSSI, establece que las cookies que no sean estrictamente técnicas o necesarias, como las de rendimiento o las de orientación, deben tener previamente el consentimiento del usuario para poder ser utilizadas. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos: RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad INFINITY ECOM S.L. con CIF.: B42993956, titular de la página web, ***URL.1, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos el 18/01/23, en el procedimiento sancionador: PS/00393/2022 SEGUNDO: NOTIFICAR la presente resolución al INFINITY ECOM S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es