1/6
Procedimiento Nº: PS/00185/2020
938-0419
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00185/2020, instruido por la Agencia Española de
Protección de Datos, a entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.:
B39730973 titular de la página web ***URL.1, (en adelante, “la entidad reclamada”), en
virtud de denuncia presentada por D. A.A.A. (en adelante, “la persona reclamada”), y
teniendo como base los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 01/05/19, tuvo entrada en esta Agencia, denuncia presentada
por la reclamante en la que indicaba, entre otras, lo siguiente:
“El pasado 20 de abril detecte que la web carecía de medidas de seguridad para
proteger los datos personales como (HTTPS). Además, la web carece de información
respecto al procesado de los datos personales y su finalidad, así como, el periodo en
el cual se almacenan. He contactado con el vendedor instando a que mejore y adapte
la seguridad de su web a la legislación vigente y no ha respondido a ningún email”.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el art 57.1 del Reglamento
(UE) 2016/679 (RGPD). Así, con fecha 26/06/19, 18/12/19 y 19/02/20 , se dirige
requerimiento informativo a la entidad reclamada, teniendo como resultado:
Según certificado del Soporte del Servicio de Notificaciones Electrónicas y Dirección
Electrónica Habilitada, el requerimiento realizado a la entidad reclamada, con fecha
26/06/19, a través del servicio de notificaciones electrónicas, fue rechazada el
07/07/19.
Según certificado del Servicio de Correos, el requerimiento realizado a la entidad
reclamada, con fecha 18/12/19, a través del servicio de correo certificado (SICER), dio
como resultado: 1º Intento de entrega el 06/02/20, Ausente. 2º Intento de entrega el
11/02/20, resultado Ausente.
Según certificado del Servicio de Correos, el requerimiento realizado a la entidad
reclamada, con fecha 19/02/20, a través del servicio de correo certificado (SICER), dio
como resultado: entrega el 24/02/20, siendo el receptor: Dª B.B.B. - ***NIF.1
TERCERO: Con fecha 15/06/20, consultada la página web ***URL.1, se pudo consta-
tar las siguientes características respecto a sus protocolos de seguridad, su “política
de privacidad” y su “política de cookies”:
“La web denunciada comercializa placas de matrícula de vehículos, para su venta on-
line. Para adquirir un juego de placas de matrícula, los usuarios deben introducir sus
datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehícu-
lo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjun-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
tos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de
pago”.
Respecto de los protocolos de seguridad utilizados:
Al acceder a la página web denunciada, se comprueba que se accede a la dirección:
***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usua-
rios puedan interceptar la información que se transfiere desde el terminal del cliente al
servidor web, ya que la información que proporcionan los usuarios no se trasfiere de
forma segura (encriptada).
- Respecto de la “Política de Privacidad”:
En la parte inferior de la página inicial de la web, a través del link “Aviso Legal”, se ac-
cede a la página: ***PÁGINA.1, en la cual, se proporciona, entre otras, información so-
bre: el responsable del tratamiento, la recopilación, finalidad, legitimación de los datos
de carácter personal; condiciones generales y requisitos para la utilización de la web y
sobre los derechos de propiedad intelectual de la web.
- Sobre la protección de datos personales, la página informa:
“En cumplimiento de Ley 15/1999 de Protección de datos de carácter personal, Miguel
Ibáñez Bezanilla S.L., le informa de que los datos que se hayan recabado a través de
este sitio Web se introducirán en un fichero automatizado, con la finalidad de gestionar
las consultas on-line y peticiones de información relacionadas con uno o varios de los
servicios que ofrece Miguel Ibáñez Bezanilla S.L. a través de su Web, gestionar su pe-
dido, tramitar su solicitud de información para el curso, así como para el envío de in-
formación comercial.
Tiene la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y
oposición ante el responsable del fichero, a través de carta o e-mail, junto con la foto-
copia de su DNI a la siguiente dirección: ***DOMICILIO.1
Miguel Ibáñez Bezanilla S.L. garantiza la custodia de los datos contenidos en este fi-
chero, para lo cual adoptará las medidas tendentes a evitar su alteración, pérdida y
acceso no autorizado, siempre de conformidad con el estado de la tecnología en cada
momento.
En caso de no querer recibir comunicaciones comerciales, por favor envíenos un co-
rreo electrónico a la dirección ***EMAIL.1 o si lo prefiere por correo postal a Miguel
Ibáñez Bezanilla S.L. C/ ***DOMICILIO.2.”
- Respecto de la “Política de Cookies”:
Al acceder a la página web (primera capa), NO existe ningún tipo de banner que infor-
me sobre la utilización de cookies en la web denunciada.
No obstante, si se accede a la página de “Aviso Legal”, existe un apartado donde se
informa sobre cookies, indicando que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
“Miguel Ibáñez Bezanilla S.L. puede utilizar cookies cuando un usuario navega por los
sitios y páginas de la Web. Las cookies son ficheros enviados a un navegador por me-
dio de un servidor Web para registrar las actividades del usuario en la Web.
Las cookies utilizadas por Miguel Ibáñez Bezanilla S.L. se asocian únicamente con un
usuario anónimo y su ordenador, y no proporcionan por sí el nombre y apellidos del
usuario. Gracias a las cookies, resulta posible que Miguel Ibáñez Bezanilla S.L. reco-
nozca a los usuarios registrados después de que éstos se hayan registrado por prime-
ra vez, sin que tengan que registrarse en cada visita para acceder a las áreas, servi-
cios, promociones o concursos reservados exclusivamente a ellos. Se utilizan también
para medir la audiencia y parámetros del tráfico, controlar el progreso.
El usuario tiene la posibilidad de configurar su navegador para ser avisado en pantalla
de la recepción de cookies y para impedir su instalación en su disco duro. Por favor,
consulte las instrucciones y manuales de su navegador para ampliar esta información.
Para utilizar la Web no resulta necesario que el usuario permita la instalación de las
cookies enviadas por Miguel Ibáñez Bezanilla S.L., o el tercero que actúe en su nom-
bre, sin perjuicio de que sea necesario que el usuario inicie una sesión como tal en
cada uno de los servicios cuya prestación requiera el previo registro o login.
Los servidores Web de Miguel Ibáñez Bezanilla S.L. detectan de manera automática la
dirección IP y el nombre de dominio utilizados por el usuario. Toda esta información es
registrada en un fichero de actividad del servidor que permite el posterior procesa-
miento de los datos con el fin de obtener mediciones estadísticas que permitan cono-
cer el número de impresiones de páginas, el número de visitas realizadas a los servi-
cios Web.
CUARTO: Con fecha 24/06/20, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de
los poderes establecidos, por incumplir lo establecido en la normativa vigente e impo-
niendo las siguientes sanciones: 1.000 euros (mil euros), por la infracción del artículo
32 del RGPD, por la política de seguridad realizada en la página web de su titularidad.
1.000 euros (mil euros), por la infracción del artículo 13 del RGPD, por la política de
privacidad realizada en la página web de su titularidad. 1.000 euros (mil euros), por la
infracción del artículo 22.2 de la LSSI, por la política de cookies instalada en la página
web.
QUINTO: Notificada la incoación del expediente el día 05/07/20, a fecha de hoy, no
consta que respuesta alguna se haya dado a la incoación del expediente dentro, del
periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada.
De las actuaciones practicadas en el presente procedimiento, de la información y do-
cumentación presentada por las partes, han quedado acreditados los siguientes:
HECHOS PROBADOS
1º.- La página web denunciada comercializa placas de matrícula de vehículos, para su
venta on-line. Para adquirir un juego de placas, los usuarios deben introducir sus datos
personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e in-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
cluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos, el
permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago.
2º.- Respecto de los protocolos de seguridad utilizados:
Al acceder a la página web denunciada, se comprueba que se accede a la dirección:
***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usua-
rios puedan interceptar la información que se transfiere desde el terminal del cliente al
servidor web, ya que la información que proporcionan los usuarios no se trasfiere de
forma segura (encriptada).
3º.- Respecto de la “Política de Privacidad”:
En la parte inferior de la página inicial de la web, a través del link “Aviso Legal”, se ac-
cede a la página: ***PÁGINA.1, en la cual, se proporciona, entre otras, información so-
bre: el responsable del tratamiento, la recopilación, finalidad, legitimación de los datos
de carácter personal; condiciones generales y requisitos para la utilización de la web;
sobre los derechos de propiedad intelectual de la web.
4º.- Sobre la protección de datos personales, la página informa haciendo referencia al
“cumplimiento de Ley 15/1999 de Protección de datos de carácter personal
5º.- Respecto de la “Política de Cookies”:
Al acceder a la página web (primera capa), NO existe ningún tipo de banner que infor-
me sobre la utilización de cookies en la web denunciada. No obstante, si se accede a
la página de “Aviso Legal”, existe un apartado donde se informa sobre varios aspectos
de las cookies.
FUNDAMENTOS DE DERECHO
I
Competencia:
Sobre la Política de Privacidad:
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en
el art. 47 de LOPDGDD.
Sobre la Política de Cookies:
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el art. art. 43.1, párrafo
segundo, de la LSSI.
II
La valoración conjunta de la prueba documental obrante en el procedimiento trae a co-
nocimiento de la AEPD una visión de la actuación denunciada que ha quedado refleja-
da en los hechos declarados probados arriba relatados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
a).- De las actuaciones practicadas, con relación a la “Política de Seguridad” de la
página web denunciada, se constata que recopila datos personales de los usuarios
utilizando un protocolo de seguridad “http//”, carente de un nivel mínimo de seguridad.
b).- De las actuaciones practicadas, con relación a la “Política de Privacidad”, de la
página web denunciada, se ha constatado que la misma aún hace referencia a la
derogada LOPD, por lo que aún no ha sido adaptada a la nueva normativa vigente
sobre protección de datos de carácter personal.
c).- De las actuaciones practicadas, con relación a la “Política de Cookies”, en la
página web denuncia, se ha constatado que, en la primera Capa, (página inicial), NO
existe ningún tipo de banner sobre cookies que proporcione información genérica
sobre la instalación de cookies en el equipo terminal y en la segunda Capa, a través
del link: “aviso legal”, existe un apartado donde se proporciona cierta información
genérica sobre las cookies, pero no se proporciona información sobre la identidad y las
características de cookies propias que se instalan, ni el tiempo que permanecen
activas en el equipo terminal. Tampoco sobre las cookies de terceros. Además, en esta
segunda capa NO existe ninguna posibilidad de rechazar todas las cookies.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Espa-
ñola de Protección de Datos,
RESUELVE
PRIMERO: IMPONER a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.:
B39730973 titular de la página web ***URL.1 por Infracción de los artículos 32 y 13
del RGPD respecto de la política de seguridad y respecto de la política de privacidad
respectivamente y por la infracción del artículo 22.2) de la LSSI, respecto de su Políti-
ca de Cookies, una sanción de 3.000 euros (tres mil euros= 1.000 euros (art. 32
RGPD) + 1.000 euros (art. 13 RGPD) + 1.000 euros (art. 22.2 LSSI).
SEGUNDO: REQUERIR a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., para que, en
el plazo de un mes desde este acto de notificación, tome las medidas adecuadas para
modificar en la página web de su titularidad en los siguientes puntos:
- Modificar su política de seguridad mediante la instalación de protocolos de se-
guridad que garanticen la transmisión de datos personales de forma segura en-
tre el terminal del usuario y el servidor web.
- Adaptar la página web a la vigente normativa sobre protección de datos perso-
nales, (RGPD), incluyendo en la misma la información que el artículo 13 del ci-
tado Reglamento estipula.
- Incluir el banner sobre cookies de la primera capa e incluir una segunda capa
la información necesaria sobre las cookies y un mecanismo que permita recha-
zar todas las cookies.
TERCERO: NOTIFICAR la presente resolución a la entidad, MIGUEL IBÁÑEZ BEZA-
NILLA S.L.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Ad-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícu-
lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, me-
diante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta
a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciem-
bre, de medidas fiscales, administrativas y del orden social, la presente Resolución se
hará pública, una vez haya sido notificada a los interesados. La publicación se realiza-
rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpo-
ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española
de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la noti-
ficación de esta resolución, o, directamente recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dis-
puesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley
29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el pla-
zo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es