1/10 Procedimiento nº.: PS/00500/2015 ASUNTO: Recurso de Reposición Nº RR/00259/2016 Examinado el recurso de reposición interpuesto por la entidad SOMOS LA WEB SL contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00500/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de marzo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00500/2015 , en virtud de la cual se imponía a la entidad SOMOS LA WEB SL, por una infracción del artículo 37.1
- n)de la LOPD, tipificada como grave en el artículo 44.3
- i)de la LOPD, una multa de 1.500 € (mil quinientos euros) de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 21/03/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00500/2015, quedó constancia de los siguientes: procedimiento sancionador, UNO.- La Resolución R/02155/2014 según consta en el Acuse de recibo de Correos se notificó en fecha de 13/10/2014 en el domicilio sito en la Calle Zurbano 45, 1º 28010 de Madrid que es la dirección donde se notificaron los restantes actos procedimentales y a su vez la que consta en la página web www.somoslaweb.com/contacto.html como dirección de contacto DOS.- Mediante diligencia de 1/12/2014 se constató que no constan en el expediente E/6120/2014 documento alguno que acredite el cumplimiento por parte de SOMOS LA WEB S.L. de las medidas requeridas. TRES.- En fecha de 10/12/2015 el Instructor del procedimiento accedió al sitio web Aeprosome verificando la existencia de un aviso sobre cookies que señala: (…) Este sitio utiliza cookies para mejorar su experiencia. Asumimos que estás de acuerdo si continuas navegando . ACEPTAR leer más (…) y muestra un enlace que al pulsarlo lleva a la política de alojada en el enlace http://www.aeprosome.es/cookie/ donde a titulo ejemplificativo señal que son y para qué sirven. Así como enlaces a los principales navegadores donde se informa de cómo gestionar las cookies. TERCERO: SOMOS LA WEB SL ha presentado en fecha 14/04/2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la nulidad de pleno derecho de la resolución recurrida, puesto que SOMOS LA WEB, S.L. no tiene legitimación pasiva, ni para el procedimiento inicial de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 apercibimiento ni para el proceso sancionador derivado del supuesto incumplimiento del apercibimiento. El instructor efectúa una vinculación indiciaria de responsabilidad. Asimismo no se ha actuado con pleno sometimiento a la ley y a derecho arts. 103.1 y 105
- c)CE. Se ha transigido la teoría de los actos propios, dándose por ciertas actuaciones que no permiten acreditar la responsabilidad a la parte sancionada. El titular del dominio no atribuye la conducen de prestador de servicios de la sociedad de la información, sino que es AEPROSOME que sería el obligado para cumplir la normativa de cookies. Anulabilidad del acto administrativo. En los mismos términos que las alegaciones formuladas a la propuesta de resolución. (No se determinó plazo para el cumplimiento y en cualquier caso ya se había cumplido con la obligación respecto de las cookies tal como se cita en el apartado tres, en fecha de 17/12/2014). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La entidad denunciada alega en su descargo que no es responsable de la infracción origen del procedimiento de apercibimiento por vulneración de lo dispuesto en el art. 22.2 de la Ley 34/2002 de los Servicios de la Sociedad de la Información, al no considerarse Prestador de Servicios ( LSSI) , en la medida en que si bien era titular del dominio www.aprosome.es el responsable de la citada página web era Aeprosome y por tanto la entidad a la que le incumbían las obligaciones de la LSSI y en su caso, atender el requerimiento de medidas derivado de la resolución R/02155/2014. Durante el procedimiento PS/500/2015 por la recurrente se aportó documentación que, en principio, acredita haber vendido el dominio www.aeprosome.es a la Asociación Española de Profesionales de Social Media en fecha de 15/01/2015, es decir, posterior a la notificación de la Resolución R/02155/2014. Por tanto es SOMOS LA WEB, S.L., como destinataria de la citada resolución la entidad obligada al cumplimiento de lo requerido y en a quién se atribuye la conducta típica y antijurídica prevista en el art. 44.3
- i)de la LOPD, que considera infracción grave, “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 por la misma”. III Respecto de las restantes alegaciones de la recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: (…)II SOMOS LA WEB, S.L. sostiene en sus alegaciones que la anulabilidad del Acto Administrativo, sin especificar a qué acto se refiere, (Acuerdo de Inicio o Propuesta de Resolución) todo ello en base a que en la Resolución R/02155/2014 de la que trae causa el presente procedimiento no señala plazo para el cumplimiento de la medida requerida, a pesar de que así lo exige el art. 39 bis. 2 de la LSSI. Frente a ello cabe señalar que los actos administrativos de acuerdo con lo dispuesto en el art. 57 de la LRJPAC se presumirán válidos y producirán efectos desde la fecha en que se dicten, salvo que en ellos se disponga otra cosa. Por su parte, el art 56 de la LRJPAC dispone que Los actos de las Administraciones Públicas sujetos al Derecho Administrativo serán ejecutivos con arreglo a lo dispuesto en esta Ley. La omisión del plazo de cumplimiento que alega SOMOS LA WEB, S.L. no supone la exención de llevar a cabo el requerimiento realizado en la citada resolución R/02155/2014, puesto que desde que el acto ha sido notificado y la resolución ha devenido firme, se desprende su ejecutoriedad. Señala la STS 25/03/2011 Rec. Casación nº 5434/2006 (…) Los defectos de forma sólo determinan la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados, ex artículo 63.2 de la Ley 30/1992. Pues bien, para que la indefensión tenga la eficacia invalidante que se pretende, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que la misma haya originado al recurrente un menoscabo real de su derecho de defensa causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio ;212/1994, de 13 de julio ,;137/1996, de 16 de septiembre ;89/1997, de 5 de mayo ;78/1999, de 26 de abril , entre otras). Circunstancia que no concurre en el caso examinado pues la parte recurrente no concreta ni explica de qué forma se le ha privado, o ha resultado menoscabado, su derecho de defensa (…) En el presente caso, SOMOS LA WEB, S.L. conocía tanto la Resolución R/02155/2014 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 (que no recurrió en Resposción) como el Acuerdo de Inicio del presente procedimiento sin que haya puesto de manifiesto tal carencia formal, que por otro lado no explica ni identifica en qué medida se ha menoscabado su derecho de defensa o ha causado perjuicio alguno en su estatus en el procedimiento. Asimismo SOMOS LA WEB, S.L. realiza una interpretación, en su legítimo derecho de defensa, errónea e interesada, pues sostiene, por un lado, que el propio Instructor afirmo que había cumplido el requerimiento, y por otro, que el presente procedimiento de apercibimiento y el posterior de comprobación de cumplimiento tiene dos vertientes: una la del efectivo cumplimiento, y otra, la de comunicación de dicho cumplimiento. Pues bien, ni el Instructor ha señalado que se cumplió con el requerimiento, ni el procedimiento de apercibimiento tiene esa doble vertiente, a saber: En el expediente de control de cumplimiento de medidas E/06120/2014 se hace constar lo siguiente: (…) con fecha de hoy – 01/12/2014 - no constan en el expediente de referencia documentos que acrediten el cumplimiento de las medidas requeridas en la resolución de fecha 08/10/2014(…) Ya en el presente procedimiento sancionador, consta diligencia de Instrucción de 10/12/2015 donde recoge las comprobaciones realizadas, y la constancia de la existencia de un aviso de cookies en la web, sin embargo eso no significa que haya cumplido el requerimiento (como entiende SOMOS LAWEB, S.L.,) pues en el aviso de instala, su finalidad y quién es el responsable de las mismas y del aviso que consta nada de esto se deduce. Es decir, cualquier mensaje sobre el uso de cookies no significa per se, el cumplimiento del art. 22.2 de la LSSI, sino que debe deducirse con claridad los aspectos citados. En la Propuesta de Resolución se hace constar expresamente que no ha cumplido, y SOMOS LA WEB, S.L. es plenamente conocedora pues transcribe literalmente un párrafo de la citada propuesta omitiendo tal aspecto, en concreto en el Fundamento de Derecho III constaba lo siguiente(…)no consta que la entidad haya atendido el requerimiento que le fue efectuado en la resolución de Apercibimiento notificada en fecha de 31/10/2014 manteniéndose la conducta infractora desde el momento en que devino firme en vía administrativa la reseñada resolución hasta la actualidad por falta de contestación al mismo, y de acuerdo con las comprobaciones realizadas en la página web en fecha de 10/12/2015, puesto que la inclusión del mensaje en la página web principal, no cumple con lo requerido(…). La entidad denunciada ha omitido el texto subrayado para dirigir sus alegaciones a su no conocimiento. Asimismo, en cuanto a la doble vertiente del cumplimiento que entiende SOMOS LA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 WEB, S.L., debe señalarse que la infracción imputada es la conducta típica recogida en el art. 44. 3i) consistente en (…) no atender los requerimientos o apercibimientos (…) siendo irrelevante la comunicación o su ausencia, en el sentido de que lo trascendente es cumplir la medida, y la forma en que la Agencia Española de Protección de Datos debe ser conocedora no obedece a un determinado procedimiento formal, sino que ya sea a través de comunicación por parte de la entidad requerida, ya sea por las propias comprobaciones que el órgano instructor puede realizar ( como en el presente caso, que basta con acceder a la página web) la finalidad es subsanar la conducta típica y antijurídica, y debe recordarse que dicha conducta no ha sido subsanada e incluso a la fecha de las pruebas realizadas en el presente procedimiento sancionador, SOMOS LA WEB, S.L. no había cumplido la medida. (Véase el Hecho Probado Tres). En conclusión, debe desestimarse las alegaciones de SOMOS LA WEB, S.L., puesto que la no concesión de plazo expreso no puede oponerse como excepción al debido cumplimiento, siendo la citada resolución ejecutiva desde su firmeza, y la citada omisión un error formal no invalidante que por sí solo no causa indefensión. SOMOS LA WEB, S.L., no ha cumplido el apercibimiento, ni en el procedimiento de control de cumplimiento de medidas E/06124/2014 ni durante la instrucción del presente procedimiento sancionador, y a la vista de la captura de pantalla aportada junto a sus alegaciones formuladas a la propuesta de resolución (pág. 5 de alegaciones) se desprende que a fecha de la presentación de las mismas 03/03/2016 siguen las carencias informativas en la página web. III El art. 22.2 de la LSSI establece que: Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario. El art. 39 bis. 2 de la LSSI establece que : Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. IV Mediante Resolución R/02155/2014 de fecha 08/10/2014 se acredito el incumplimiento de lo dispuesto en el art. 22.2 de la LSSI y en aplicación del artículo anteriormente citado se requirió a la entidad denunciada para que adoptase las medidas oportunas tendentes a subsanar el citado incumplimiento. Al haberse notificado la Resolución en fecha de 13/10/2014 en el domicilio de la entidad y habiéndose comprobado durante las actuaciones E/6120/2014 la inexistencia de documentación alguna que acredite el cumplimiento de lo requerido y el mantenimiento de la situación irregular de acuerdo con el art. 22.2 de la LSSI, se da la conducta tipifica y antijurídica considerada grave en el art. 44. 3
- i)de la LOPD consistente en: “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.”. En este caso, la omisión formal del plazo de cumplimiento no puede alegarse como perjuicio en sus derechos procedimentales, ni menos como excepción al deber de cumplir, pues SOMOS LA WEB, S.L. ha disfrutado sobradamente de más de un mes para cumplir tal requerimiento ( plazo que con carácter general se otorga en este tipo de procedimientos), téngase en cuenta que la Resolución R/02155/2014 se notificó en fecha de 13/10/2014 y el expediente E/6120/2014 ha tenido una duración de casi un año, puesto que el procedimiento sancionador se inició en fecha de 23/09/2015, y ni así SOMOS LA WEB, S.L. ha corregido las deficiencias informativas de su página web. Debiendo señalarse que la entidad denunciada no ha formulado alegación alguna tendente a explicar la razón por la que no cumplió el requerimiento, sino que realiza manifestaciones del anterior procedimiento PS/2008/2014-A/267/2014 que fue notificado en tiempo y forma y respecto del que no utilizó los medios de revisión previstos en el art. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 117 y siguientes de la LRJPAC. V El artículo 45.1, 2, 4 y 5 de la LOPD establecen lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la posibilidad de reducir la cuantía de la sanción, aplicando la escala que preceda en gravedad, siempre que exista una cualificada disminución de la culpabilidad o de la antijuridicidad del hecho, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, se aprecian circunstancias que suponen una disminución cualificada de la culpabilidad de la entidad imputada por la concurrencia de varios de los criterios enunciados en el apartado 4 del citado artículo 45, como son la falta de constancia de que la entidad imputada haya obtenido beneficios como consecuencia de la comisión de la infracción o se hayan generado perjuicios a las personas interesadas o terceras personas y la ausencia de reincidencia. Procede, por tanto, la aplicación de lo dispuesto en el artículo 45.5, imponiendo una sanción en cuantía correspondiente a la escala relativa a las infracciones leves. Por otro lado respecto de los criterios que recoge el artículo 45.4 de la LOPD relativos a la aplicación del principio de proporcionalidad en la graduación del importe de las sanciones, se concluye que en este supuesto actúan como agravantes las circunstancias recogidas en los criterios
- a)y f). En este sentido, en relación con la existencia de intencionalidad en la conducta imputada, de la secuencia de hechos expuesta en esta resolución y de la cronología de los mismos se evidencia la falta de diligencia de SOMOS LA WEB, S.L., para adoptar las medidas necesarias en orden no sólo a corregir las deficiencias informativas sobre el uso de dispositivos de almacenamiento y recuperación de datos que le fueron indicadas en la resolución de Apercibimiento de tanta cita en relación con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 información facilitada al respecto en su página web sino también para informar a esta Agencia sobre el cumplimiento de lo requerido. Por lo cual no consta que la entidad haya atendido el requerimiento que le fue efectuado en la resolución de Apercibimiento notificada en fecha de 31/10/2014 manteniéndose la conducta infractora desde el momento en que devino firme en vía administrativa la reseñada resolución hasta la actualidad (03/03/2016 fecha de presentación de alegaciones a la propuesta de resolución ya que de su pagina 5 que aporta impresión de pantalla se verifica que continúan las carencias informativas). La inclusión del mensaje en la página web principal, no cumple con lo requerido siendo a lo sumo parámetro de antijuridicidad y culpabilidad, pues se deduce la intención de cumplir aunque erróneamente y permite rebajar la cuantía de la sanción, pero nunca eximir la responsabilidad pues la conducta que se sanciona no es el incumplimiento del art. 22.2 de la LSSI, (hecho sobre el que versa el procedimiento A/267/2014 ) sino la vulneración del art. 44. 3
- i)de la LOPD consistente en: “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” Paralelamente, se estima que actúan como atenuantes las circunstancias recogidas en los criterios e),
- g)y
- h)del citado artículo 45.4, ya citadas a los efectos de aplicar la reducción cualificada en la cuantía de la sanción contemplada en el artículo 45.5 de la LOPD. En consecuencia, se estima adecuado a la gravedad de los hechos imputados imponer una sanción en la cuantía de 1.500 euros a SOMOS LA WEB, S.L.(…) IV Por lo tanto, en el presente recurso de reposición, SOMOS LA WEB SL no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SOMOS LA WEB SL contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de marzo de 2016, en el procedimiento sancionador PS/00500/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad SOMOS LA WEB SL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es