← España

REPOSICION-PS-00581-2016

1/6 Procedimiento nº.: PS/00581/2016 ASUNTO: Recurso de Reposición Nº RR/00328/2017 Examinado el recurso de reposición interpuesto por la entidad PACSOLUTOR S.L.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00581/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 24/03/2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00581/2016, en virtud de la cual se imponía a la entidad PACSOLUTOR S.L.U., por una infracción del artículo 22.2 de la LSSI, tipificada como leve en el artículo 38.4

  1. g)de la LSSI, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 40 de la citada LSSI. Dicha resolución, que fue notificada al recurrente en fecha 29/03/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00581/2016, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- En la resolución R/03279/2015 de fecha 23/12/2015 se verificó que PACSOLUTOR, SLU vulneró el art. 22.2 de la LSSI. DOS.- Mediante diligencia de fecha 28/11/2016 se accedió a la página web y se verificó que la titularidad correspondía a PACSOLUTOR, SLU, y que el sitio web utiliza DARD persistentes, de analítica web ( _ga y _gat), y de carácter publicitario de tercera parte ( NID), respecto de cuya finalidad no se informa en el aviso que se muestra al entrar en la citada página web. TERCERO: PACSOLUTOR S.L.U., ha presentado en fecha 3/04/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, en las siguientes alegaciones: En Fecha 23 de diciembre de 2015 se notifica a PACSOLUTOR, S.L.U. de la Resolución R/03279/2015 indicando que en la página web http://www.pacsolver.com no se deduce en la primera capa informativa la instalación de cookies propias y de terceros con finalidades de análisis de elaboración de estadísticas a partir de hábitos de navegación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 de los usuarios, ni de carácter publicitario. En Fecha 26 de Enero de 2016 PACSOLUTOR, SLU notifica a través de correo electrónico de haber modificado la primera capa informativa de cookies, habiendo añadido el siguiente texto: "ACEPTACION DE COOKIES. Utilizamos cookies propias y de terceros. El análisis de datos que recopilamos los utilizamos para mejorar la experiencia de navegación, así como ofrecer una información y servicios más personalizados. Si sigues navegando entendemos que lo aceptas." Con fecha 14 de Diciembre de 2016 se notifica a PACSOLUTOR del inicio de un procedimiento Sancionar PS/00506/2016 así como de su archivo de forma simultánea en dos cartas que llegan seguidas. Asimismo, un tercer correo es remitido con fecha 19 de Diciembre de 2016 donde se notifica el inicio de otro proceso Sancionador PS/00581/2016. Las notificaciones llegan al domicilio social de PACSOLUTOR en la misma semana y esto provoca algo de confusión en su lectura, haciendo entender que no existía ningún procedimiento abierto, ya que se leyó la carta de la resolución R/03064/2016 en última instancia, pensando (de forma errónea) que todo había quedado solucionado Con fecha 24 de marzo la AEPD escribe una nueva carta a PACSOLUTOR, recibida el 31/03/2016, en relación a la resolución del procedimiento sancionador PS/00581/2016, el cual PACSOLUTOR, SLU no había entendido correctamente en la notificación anterior que este no había quedado resuelto ya, indicando que se impone una sanción de 3.000€, alegando que el texto mostrado en la primera capa no informa de la finalidad de los DARD de analítica web ni publicitarios. Se solicita la revisión de la resolución adoptada teniendo en cuenta estos aspectos: 1) La inconveniencia que supuso recibir simultáneamente el inicio de dos expedientes sancionadores y una resolución archivando uno de ellos la misma semana. PACSOLUTOR, habría interpuesto rápidamente un recurso si este hecho no hubiera hecho caer en el error de pensar que todo estaba ya resuelto y sin procedimientos pendientes. 2) La intencionalidad de informar en TODO caso de las cookies que en la página web se instalan en los dispositivos de los usuarios. A nuestro entender, la frase " El análisis de datos que recopilamos los utilizamos para mejorar la experiencia de navegación" indica claramente que se usan para analizar datos (Analítica web) con el objetivo de mejorar la experiencia de navegación (se describe su finalidad). Por otro lado " ofrecer una información y servicios más personalizados" hace referencia a las cookies NID, indicando claramente que se mostrará información personalizada al usuario. Por este motivo, no entienden por qué se considera que, introduciendo esta información, no se haga referencia a la finalidad de las cookies _ga, _gat y NID. La buena fe de las actuaciones y la intención de colaborar con la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Protección de Datos, pone en una situación difícil dada la magnitud desproporcionada de la sanción teniendo en cuenta que se está notificando de forma clara a los usuarios. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por PACSOLUTOR S.L.U., referidas a la confusión de haber sido notificadas las resoluciones de dos expedientes sancionadores, debe indicarse lo siguiente: El procedimiento sancionador PS/00506/2016, resuelto mediante Resolución R/03064/2016 de fecha 14/12/2016 tenía por objeto verificar si la entidad denunciada había contestado al requerimiento derivado del procedimiento de Apercibimiento A/00248/2014. En concreto se imputaba la comisión de la infracción prevista en el artículo 44.3.
  2. i)de la LOPD, precepto que tipifica como infracción grave a dicha norma: “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En este sentido y tras valorar la documentación aportada por la entidad, se resolvió archivar el mismo en base a que la recurrente presentó escrito de contestación en fecha 26/01/2016, sin embargo en la citada resolución en modo alguno se validó la medida adoptada, incluso se advertía lo siguiente para el caso de no haber adecuado la información mostrada en la página web: (…)procede acordar el archivo de las actuaciones seguidas a la mencionada mercantil en el presente procedimiento sancionador, sin perjuicio de las posibles responsabilidades en que dicha empresa hubiera podido incurrir como consecuencia de la falta de adecuación del sitio web www. A.A.A. de su titularidad a las exigencias del artículo 22.2 de la LSSI..(…) Por otra parte, el procedimiento del que trae causa el presente recurso de reposición ( PS/506/2016,) tenía por finalidad, ya no verificar la atención del requerimiento efectuado en el A/00248/2014, sino el cumplimiento de lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 artículo 22.2 de la LSSI, que bajo la rúbrica “Derechos de los destinatarios de los servicios”, dispone lo siguiente: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Es decir, claramente se advierten las diferencias entre uno y otro, por lo que no es conforme a derecho proceder a su revisión, como pretende la recurrente. Además, en el Fundamento de Derecho VI que se transcribe a continuación, se desarrolla la concreta imputación de los hechos que sirven de base para la acreditación del incumplimiento del citado precepto: <<VI Relacionando dichas exigencias con la información ofrecida por PACSOLUTOR S.L., en las pruebas realizadas sobre DARD en su página web se efectúan las siguientes consideraciones: En fecha de 28/11/2016 se verificó que la página web analizada descargaban DARD de terceros con finalidades de análisis de la actividad de la web, y publicitarias, y en cuanto a la información que ofrecían al acceder (aviso de primera capa) no se deducía el tipo de DARD, y su finalidad, al incluir expresiones cómo (….) mejorar la experiencia de navegación, así como ofrecer una información y servicios más personalizados (…) Por tanto no puede entenderse que la citada página web se proporciona información suficiente al usuario para otorgar su consentimiento informado, para permitir el uso de DARD. La conducta descrita está tipificada como leve en el artículo 38.4.
  3. g)de la citada norma, que señala como tal
  4. g)Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.>> A mayor abundamiento, se realizó un acceso a la web en fecha de 21/04/2017, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 y se incorporó al expediente, verificándose que continuaban las carencias informativas puestas de manifiesto, no se informa de las finalidades de analítica web ni del carácter publicitario de los DARD que se descargan. Asimismo se verifica que los DARD se instalan con independencia de la aceptación por parte de los usuarios de la página web. Finalmente en cuanto a la graduación del importe de la sanción, se estima adecuada al principio de proporcionalidad, debiendo recordarse que el precepto permite la imposición de sanciones en cuantías de hasta 30.000 euros, tal como se analizó en el Fundamento de Derecho VII, y que se transcribe a continuación, todo ello sin perjuicio de que en la actualidad continúan las carencias informativas antes expuestas: <<VII La sanción por la vulneración de lo dispuesto en el art. 22.2 de la LSSI, infracción tipificada como leve en el art. 38.4
  5. g)debe imponerse de acuerdo con los criterios del art. 40, con un importe de hasta 30.000 euros de la LSSI, que a continuación se cita: “Artículo 40 Graduación de la cuantía de las sanciones La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  6. a)La existencia de intencionalidad.
  7. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  8. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  9. d)La naturaleza y cuantía de los perjuicios causados.
  10. e)Los beneficios obtenidos por la infracción.
  11. f)Volumen de facturación a que afecte la infracción cometida.
  12. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes. En el presente caso y de acuerdo con los criterios que establece el art. 40 de la LSSI, en concreto el previsto en el apartado
  13. a)la existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad acuerdo con la Sentencia de la Audiencia Nacional de 12/11/2007 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento previo e informado que se adecue al mandato de la LSSI y el previsto en el apartado
  14. b)plazo de tiempo durante el que se haya venido cometiendo la infracción, en atención a la fecha desde que se tiene conocimiento de la vulneración del citado precepto – 30/03/2015- y la última fecha en la que se verifica la presunta comisión de la infracción- 28/11/2016-, determinándose en la cuantía de 3.000 euros.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 III Por lo tanto, en el presente recurso de reposición, PACSOLUTOR S.L.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PACSOLUTOR S.L.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 24 de marzo de 2017, en el procedimiento sancionador PS/00581/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad PACSOLUTOR S.L.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.