Web Sitelerinde Veri Koruma İhlalleri

1/19

 Procedimiento Nº: PS/00388/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

En el procedimiento sancionador PS/00388/2020, instruido por la Agencia Española de
Protección de Datos, a la entidad, FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L., con
CIF.:B73447393, titular de las páginas web: ***URL.1 y ***URL.2, (en adelante, “la en-
tidad reclamada”), y en base a los siguientes,

ANTECEDENTES

PRIMERO: En la reclamación presentada el 21/07/20, se indicaba, entre otras, lo si-
guiente: “Las páginas webs ***URL.1 y ***URL.2 no disponen de política de
privacidad, texto legal ni gestión de cookies. En los formularios de contacto no hay
información sobre lo que se va a hacer con los datos del formulario”.

SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el art 57.1 del RGPD. Así, con
fecha 16/09/20, se dirige requerimiento informativo a la entidad reclamada.

TERCERO: Con fecha 15/10/20, la entidad reclama envía a esta Agencia, escrito de
contestación al requerimiento y cuyo contenido se incluye en el escrito de incoación de
expediente y en el escrito de propuesta de resolución.

CUARTO: Con fecha 19/11/20, por parte de esta Agencia, se realizan comprobaciones
sobre la “Política de Privacidad” y sobre la “Política de Cookies”, de las páginas web
indicadas, comprobándose los aspectos que ya se incluyeron en el escrito de
incoación de expediente y en el escrito de propuesta de resolución.

QUINTO: A la vista de los hechos denunciados y de las evidencias observadas en las
páginas web, la Directora de la Agencia Española de Protección de Datos, con fecha
25/11/20, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud
de los poderes establecidos en la legislación vigente, por las siguientes infracciones:

a).- Con respecto a la página web ***URL.1 :

.- Infracción del artículo 7) del RGPD, al realizar la recogida del consentimiento de los
usuarios, a través de una aceptación genérica para todos los fines del tratamiento, con
una sanción inicial de “apercibimiento”.

.- Infracción del artículo 22.2) de la LSSI, respecto de la inexistencia de “Política de
Cookies” de la página web de su titularidad, con una sanción inicial de 3.000 euros.

b).- Con respecto a la página web ***URL.2:

.- Infracción del artículo 13) del RGPD, respecto de la inexistencia de política de priva-
cidad en su página web, comprobando que existe un tratamiento de los datos persona-
les de los usuarios, con una sanción inicial de 3.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/19

.- Infracción del artículo 22.2) de la LSSI, respecto de la inexistencia de “Política de
Cookies” de la página web de su titularidad, con una sanción inicial de 3.000 euros.

SEXTO: Notificado el acuerdo de inicio del expediente sancionador, la entidad recla-
mada, mediante escrito de fecha 11/12/20, formuló alegaciones a la incoación de ex-
pediente, cuyo contenido ya se indicó el escrito de propuesta de resolución.

SÉPTIMO: Con fecha 20/02/21, por parte de esta Agencia, se vuelven a realizar com-
probaciones de la “Política de Privacidad” y de la “Política de Cookies” de las páginas
web indicadas, y se notifica la propuesta de resolución a la entidad reclamada en la
que se proponía que, por la Directora de la Agencia Española de Protección de Datos
se sancionase a la entidad reclamada:

.- Respecto a la página web ***URL.1, con “apercibimiento”, por la infracción del artícu-
lo 7, del RGPD, respecto de la inoperatividad en la recogida del consentimiento para
los diferentes fines a los que la entidad desea tratarlos datos personales, y con 3.000
euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI, respecto de la
“Política de Cookies” en la página web.

.- Respecto a la página web ***URL.2 , con 3.000 euros (tres mil euros), por la infrac-
ción del artículo 13 del RGPD, respecto de la inexistencia de política de privacidad en
la web y con 3.000 euros (tres mil euros), por la infracción del artículo 22.2) de la LSSI,
respecto de la “Política de Cookies” en la página web de su titularidad.

Además, de conformidad con el art 58.2 del RGPD, se proponía a la Directoria de la
Agencia Española de Protección de Datos que ordenase a la entidad para que:

.- Tomase las medidas necesarias para activar el mecanismo la recogida del consenti-
miento de los usuarios de la página web ***URL.1.

.- Tomase las medidas necesarias para incluir en la web, ***URL.2, la “Política de Pri-
vacidad” adaptándola a lo estipulado en el artículo 13 del RGPD.

.- Tomase las medidas necesarias para adecuar las políticas de cookies de las dos pá-
ginas web, a lo estipulado en la normativa vigente.

NOVENO: Tras la notificación de la propuesta de resolución, con fecha 30/03/21, la
entidad reclamada presentó escrito de alegaciones a la propuesta de resolución, en el
cual se indicaba, entre otras, lo siguiente:

“En el Documento recibido por Flexomed, en relación al tratamiento de los datos per-
sonales de la página web ***URL.1, una vez eliminada esa frase incorrecta que apare-
cía en la web, se aprovechó para facilitar a los usuarios un opt-in independiente, no
marcado por defecto, en el que pudieran proporcionar su consentimiento para recibir
comunicaciones comerciales, modificando en consecuencia, las finalidades del trata-
miento de los datos e incluyendo que las mismas serían, la finalidad principal de dar
respuesta a la solicitud realizada por el usuario y, además, y solo en caso de consenti-
miento expreso mediante el opt-in dispuesto de forma separada para ello, sus datos
se utilizarían también con la finalidad del envío de comunicaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/19

Sobre el formulario de la newsletter, Es posible que, en el momento en el que se hicie-
ron las comprobaciones oportunas por la Aepd, hubiese algún error informático que no
permitiese acceder al formulario para suscripción a la newsletter, sin embargo, este
formulario sí se encuentra activo y cuenta con la información relativa al tratamiento de
los datos personales, como puede observarse en la captura de pantalla…

- Sobre la “Política de Cookies” en la página web, se informa a la Aepd que Flexomed
realizó las comprobaciones oportunas pudiendo confirmar en la actualidad que, sin
realizar ninguna acción sobre la web y sin aceptar la utilización de las cookies, no se
instalan cookies no necesarias. De igual forma, en caso de que el usuario las rechace,
excepto las estrictamente necesarias, no se instalaran dichas cookies no necesarias.
Además, en el banner desplegable los tipos de cookies

Sobre las supuestas vulneraciones en el sitio web ***URL.2 Esta página web, como
se indicaba en las alegaciones realizadas por Flexomed de fecha 10 de diciembre de
2020, fue creada y publicada por decisión propia del extrabajador sin tener instruccio-
nes de la empresa para ello ni informarla de dicha acción. Prueba de ello, es que este
sitio web, no ha sido publicado ni anunciado por la empresa por ninguna vía. Lo mis-
mo ocurrió con el registro del dominio ***URL.3 , realizado por voluntad propia del ex-
trabajador bajo su titularidad y sin comunicarlo a Flexomed.

Se aporta una de las denuncias presentadas contra el extrabajador por este motivo. A
la vista de lo anterior, este dominio web fue redireccionado por Flexomed a la web
***URL.1 de forma permanente, y por el momento, hasta que la empresa decida si fi-
nalmente utilizarán esta web y de qué manera lo harán, así como los tipos de datos
que se recogerán y el tratamiento que se hará de ellos para, de esta manera, informar
correctamente a los usuarios y cumplir con la normativa vigente.

Flexomed se compromete a que, en caso de tomar la decisión de activar de nuevo
esta web, la misma implementará la totalidad de las medidas adoptadas por la web
***URL.1 , especialmente en cuanto a la información sobre el tratamiento de los datos
personales que se recojan a través de ella y en cuanto a las cookies que vayan a ins-
talarse en la misma, atendiendo a las indicaciones de la Aepd en las notificaciones en-
viadas a Flexomed y la guía de cookies publicada por el mismo organismo, cumplien-
do de esta forma, la normativa relativa a la protección de datos y la Ley de servicios
de la sociedad de la información y de comercio electrónico.

Como se ha detallado y documentado en el presente escrito y como muestra de la
buena fe y el interés de la empresa en cumplir con la normativa de protección de da-
tos, no suponer ningún tipo de perjuicio en este sentido a los titulares de los datos per-
sonales y solucionar este asunto de la forma más rápida posible, las anteriores medi-
das impuestas por la Aepd ya habían sido adoptadas”.

DÉCIMO: Con fecha 06/04/21, por parte de esta Agencia, se vuelven a realizar com-
probaciones sobre la “Política de Privacidad” y de la “Política de Cookies” en las pági-
nas web indicadas, comprobando los siguientes aspectos en cada una de ellas:

A).- Respecto de la página web, ***URL.1:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/19

- Sobre el tratamiento de datos personales en la página web:

1.- En la página inicial, a través de la pestaña: <<contacto>>, la web redirige a un for-
mulario donde se recogen datos personales de los usuarios, como el nombre, el telé-
fono o el email.

En la misma página donde se encuentra el formulario, existe además información so-
bre, quien es el responsable del tratamiento de los datos personales; la legitimación
que tiene para el tratamiento de los datos (el consentimiento); los destinatarios y los
derechos que asistente al usuario en relación con el tratamiento de sus datos persona-
les.

Antes de poder enviar el cuestionario, es necesario aceptar la política de privacidad
marcando la casilla correspondiente: “_ Acepto el <<Aviso Legal>> y la <<Política de
Privacidad>> cuya información básica aparece a continuación (…)”.

En la parte inferior de la página principal, el usuario puede suscribirse para recibir co-
municaciones comerciales de la entidad: “_Deseo recibir comunicaciones comerciales
relacionadas con los productos y servicios de FLEXOGRÁFICA DEL MEDITERAAÉ-
NEO, S.L.”.

También existe la posibilidad de subscribirse a las newlletter de la entidad rellenando
el formulario existente en la parte inferior de la página principal: Suscríbete a nuestra
NEWSLETTER para estar al día de todas las novedades en nuestro universo de pa-
ckaging y envase alimentario <<enviar>>.

- Sobre la “Política de Privacidad” de la página web:

1.- A través del link <<Política de Privacidad>>, existente en la parte inferior del formu-
lario indicado anteriormente, la web redirige a una nueva página, ***URL.4 , que pro-
porciona información sobre el cumplimiento de la legislación vigente en materia de pro-
tección de datos; identificación del responsable del tratamiento de los datos; la finali-
dad de la recogida de los datos; los derechos de los usuarios sobre el tratamiento de
sus datos personales; sobre el uso del portal web o sobre la propiedad intelectual, en-
tre otras.

- Sobre la “Política de Cookies” de la página web:

1.- Al entrar en la página inicial de la web indicada (primera capa), sin realizar ninguna
acción sobre la misma y sin rechazar las cookies, se comprueba que se utilizan
cookies no necesarias de terceros, cuyo dominio pertenece a “youtube.com” y que son
las siguientes:

- VISITOR_INFO1_LIVE: cookie que realiza el seguimiento de los videos visita-
dos que se encuentran incrustados en la web. Tiene una permanencia de 240
días aproximadamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/19

- YSC: cookie que mide las reproducciones de videos realizadas por el usuario y
registra los eventos de “Me gusta” o “Compartir video”. Es una cookie de se-
sión, caducando cuando finaliza la sesión con el navegador;

- CONSENT: que miden cuándo un vídeo es visto, gustado o compartido.

2.- En la misma página inicial, (primera capa), se despliega el siguiente banner con in-
formación sobre cookies:

“Usamos cookies en nuestro sitio web para brindarle la experiencia más relevante re-
cordando sus preferencias y visitas repetidas. Al hacer clic en "Aceptar", acepta el uso
de TODAS las cookies”.

<<Ajustes Cookies>> --- <<aceptar>>

3.- Si se opta por ir al panel de configuración de las cookies, a través del enlace,
<<ajuste cookies>>, se despliega un panel de configuración de cookies donde se pue-
den gestionar la utilización de las mismas, de forma granular, desplazando el cursor
desde la posición <<off>> a la posición <<on>>, en los diferentes grupos de cookies
constituidos: “Functional”; “Performance”; “Analytics” y “Others”.

No obstante, si se opta por NO permitir el uso de las cookies, dejando los cursores en
la posición, <<off>>, se comprueba que la página web sigue utilizando cookies de ter-
ceros no necesarias y tampoco ahora permitidas por el usuario, cuyos dominios perte-
necen a, “Google.com”; “youtube.com” y “doubleclick.net” y que son las siguientes:

- 1P_JAR: Cookie que transfiere datos a Google para hacer la publicidad más
atractiva.

- VISITOR_INFO1_LIVE: cookie que realiza el seguimiento de los videos visita-
dos que se encuentran incrustados en la web. Tiene una permanencia de 240
días aproximadamente.

- CONSENT: que miden cuándo un vídeo es visto, gustado o compartido.

- IDE: cookies que se utiliza para mostrar anuncios de Google en sitios que no
son de Google.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/19

- NID: cookie utilizada por Google para almacenar las preferencias del usuario.

4.- En la página de “Política de Cookies”, cuyo enlace se encuentra en la parte inferior
de la página, <<Política de Cookies>>, la web redirige a una nueva página, ***URL.5 ,
que proporciona información sobre, qué son las cookies y para qué se usan; qué infor-
mación guarda una cookie; qué tipo de cookies existen e identifica las cookies que uti-
liza la página web, tanto las propias como las de terceros (Google Analytics), la finali-
dad que tienen y el tiempo que estarán activas. Sobre cómo gestionar la instalación de
cookies en el equipo terminal, la página web remite al usuario a configurar el navega-
dor instalado en su equipo terminal.

B).- Respecto de la página web, ***URL.2 :

Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, la web redirige
al usuario a la ***URL.1.

HECHOS PROBADOS

1º.- Según la reclamación presentada en esta Agencia, las páginas web, ***URL.1 y
***URL.2, no disponían de política de privacidad, ni gestión de cookies.

2.- A requerimiento de esta Agencia, la entidad informó, entre otras, que:

“La web, ***URL.1, titularidad de la Empresa, cuenta con la información y documenta-
ción necesaria en materia de protección de datos, incluyendo la Política de Privacidad,
***URL.4, y Política de Cookies, ***URL.5, contando con un aviso de cookies que apa-
rece en la pantalla al entrar en la Web (Anexo III) (…)”.

“Asimismo, la web ***URL.2 , titularidad también de la Empresa, redirige a los usuarios
que quieran contactar con el titular de la página al formulario de contacto de la Web:
***URL.1 , el cual incluye la información sobre el tratamiento de datos de usuarios
(…)”.

3.- Esta Agencia pudo constatar los siguientes aspectos en la página, ***URL.1:

- Sobre el tratamiento de datos personales en la página web, se constató que a
través de la página web se podía obtener datos personales de los usuarios. En
dicha página existía un mensaje que informaba a los usuarios de lo siguiente:
“su dirección de correo electrónico sólo se utiliza para enviarle nuestro catálo-
go e informarle sobre nuestros servicios de packaging personalizado para em-
presas. Usted tiene derecho a ponerse en contacto con nosotros para eliminar
sus datos de nuestros registros”.

- Se constató que en la “Política de Privacidad”, ***URL.4, que proporcionaba in-
formación sobre el cumplimiento de la legislación vigente en materia de protec-
ción de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/19

- Sobre la “Política de Cookies” de la página web, al entrar en la página principal
de la web, sin realizar ninguna acción sobre la misma y sin aceptar la utiliza-
ción de cookies, se utilizaban cookies no necesarias. También se comprobó
que no se desplegaba ningún un banner con información sobre la utilización de
éstas.

- En la segunda capa, “Política de Cookies”, ***URL.5, proporcionaba informa-
ción sobre las cookies, pero no existía ningún mecanismo que permitiera el re-
chazo de las mismas, solamente se remitía al usuario a configurar el
navegador instalado en su equipo terminal.

4.- Sobre la página web, ***URL.2, esta Agencia pudo constatar los siguientes aspec-
tos:

- Sobre el tratamiento de datos personales, a través de las pestañas,
<<ejemplos de psico packaging>>, y <<impresión digital online>>, la web
redirigía a sendas páginas donde se podían recoger datos personales.

- Sobre la “Política de Privacidad” de la página web, ***URL.6, al acceder a ella,
aparecía el mensaje siguiente: “No se ha podido encontrar la página que
buscas. Puede haber sido eliminada, renombrada o ni siquiera existir”.

A través del enlace, ***URL.7, la web redirigía a una nueva página con el siguiente:
“No se ha podido encontrar la página que buscas. Puede haber sido eliminada,
renombrada o ni siquiera existir”.

5.- Notificado el acuerdo de inicio, la entidad reclamada, titular de las páginas web indi-
cadas, alegó, con fecha 11/12/20, entre otras, lo siguiente:

Con relación a la página web ***URL.1:

“Sobre el consentimiento prestado por los usuarios para el tratamiento de sus datos
personales, se informa que Flexomed va a eliminar del formulario de contacto el apar-
tado al que se refiere la Aepd en este punto, (…), debido a que, erróneamente se ha
incluido esa información en ese formulario y no en el formulario de inscripción a la
newsletter dispuesto también en la web ya que los datos recogidos a través del formu-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/19

lario de contacto no se tratan con la finalidad de envío de newsletter sino únicamente,
a fin de contestar a las solicitudes de información o las dudas indicadas por los usua-
rios a través de dicho formulario.
Sobre la “Política de Cookies” de la página web” del Documento, se informa que la
web sí que cuenta con un banner donde se informa sobre la instalación de cookies,
adjuntando como Anexo I una captura de dicho banner que aparece en la web, donde
puede apreciarse que se ofrece al usuario la posibilidad de aceptar, rechazar o confi-
gurar las cookies. y se encuentra actualmente modificando la segunda capa de la Polí-
tica de Cookies de su web para incluir una información más clara (…).

Con relación con la página web ***URL.2 :

En lo que concierne a esta dirección web, se informa a la Aepd que Flexomed no tenía
conocimiento de la publicación de esta web, ya que, únicamente solicitó a un trabaja-
dor de la Empresa que registrara el dominio sin que tuviese que realizar ninguna otra
gestión más allá de esta, trabajador que ya no presta sus servicios a la empresa. Este
extrabajador, además, y sin indicaciones de la Empresa registró el dominio ***URL.3,
a su propio nombre, sin informar a Flexomed de ello y mientras prestaba servicios a la
misma.

Además de realizar el registro a su nombre, en su última etapa como trabajador en la
Empresa, creó y publicó la página web ***URL.2, por decisión propia, sin tener ins-
trucciones para ello por la Empresa y sin informar a la misma de esta acción, por lo
que la Empresa y su personal desconocían de la existencia de dicha página hasta el
momento en el que se recibe la primera de las notificaciones de la Aepd.

(…) Por lo anterior, Flexomed quiere dejar constancia ante este organismo que no era
consciente de que dicha web estaba creada, ni mucho menos, habilitada o publicada
ya que la indicación que recibió el extrabajador por la Empresa fue únicamente la de
registrar el nombre de dominio.

(…) Sin perjuicio de lo anterior, la Empresa se encuentra actualmente en procesos
para recuperar la titularidad de los dominios registrados por el extrabajador y poder
comenzar con la gestión de los mismos cumpliendo, en todo momento, con la legisla-
ción vigente.

Por el momento, la Empresa procede a implementar los textos legales necesarios(Avi-
so Legal, Política de Privacidad y Política de cookies) en ***URL.2, para garantizar
que la web cumpla con la normativa.

Asimismo, dicha web contará con el aviso de cookies del mismo modo que ***URL.1

Actualmente, Flexomed tiene iniciados procedimientos judiciales en contra el autor de
la reclamación (…)

6.- El 20/02/21, por parte de esta Agencia, se vuelven a realizar comprobaciones sobre
la Política de Privacidad y de la Política de Cookies de las páginas web indicadas:

- Respecto de la página web, ***URL.1, se ha podido constatar los siguientes as-
pectos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/19

a).- Sobre el tratamiento de datos personales en la página web:

Se constató que a través de la página web se podía obtener datos personales de los
usuarios. Sobre la finalidad de los datos obtenidos en el formulario, la página web indi-
ca que serán: “Para poder contestarte al mensaje que me envíes con este formulario
de contacto”. No obstante, existe también un mensaje en la parte inferior de esta pági-
na, donde se informa al usuario que: “su dirección de correo electrónico sólo se utiliza
para enviarle nuestro catálogo e informarle sobre nuestros servicios de packaging per-
sonalizado para empresas. Usted tiene derecho a ponerse en contacto con nosotros
para eliminar sus datos de nuestros registros”, no existiendo la posibilidad de negar el
consentimiento para este tratamiento específico.

En la parte inferior de la página principal existe el siguiente mensaje: “suscríbete a
nuestra NEWSLETTER para estar al día de todas las novedades en nuestro universo
de packaging y envase alimentario. [sibwp_form id=4]- Su dirección de correo electró-
nico sólo se utiliza para enviarle nuestro boletín e información sobre las actividades,
ofertas y comunicaciones de FLEXOMED. Siempre puede usar el enlace para darse
de baja incluido en cada boletín de noticias en su correo electrónico”. No obstante, se
comprueba que el formulario para suscribirse a las “newletter”, no se encuentra activo.

b).- Sobre la “Política de Cookies” de la página web:

Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la misma
y sin rechazar las cookies, se comprueba que se utilizan cookies no necesarias. En la
misma página inicial, al entrar en ella, se despliega el banner con información sobre
cookies. En el mismo banner, existen las opciones de aceptar todas las cookies, re-
chazar todas las cookies y aceptar las cookies de forma granular (preferencias; esta-
dísticas y de marketing. No obstante, todas las opciones ellas se encuentran premar-
cadas en “aceptar cookies”).

Si se opta por rechazar todas las cookies excepto la estrictamente necesarias, (<<solo
usar cookies necesarias>>), se comprueba que la página web sigue utilizando cookies
no necesarias de los dominios ***URL.1, Google.es y Google.com; youtube.com;dou-
bleclick.net, sibautomations.com.

En la página de “Política de Cookies”, ***URL.5 , que proporciona información sobre,
qué son las cookies y para qué se usan; qué información guarda una cookie; qué tipo
de cookies existen e identifica las cookies que utiliza la página web, tanto las propias
como las de terceros, la finalidad que tienen y el tiempo que estarán activas en el equi-
po terminal.

- Respecto de la página web, ***URL.2, se ha podido constatar lo siguiente:

a).- En la página inicial de la web, se identifica como responsable de la misma a:
Flexomed; ***DIRECCIÓN.1, ***LOCALIDAD.1; (MURCIA) ESPAÑA.

b).- Sobre el tratamiento de datos personales en la web:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/19

No obstante, a través de las pestañas, <<ejemplos de psico packaging>> y <<impre-
sión digital online>>, la web redirige a sendas páginas donde se pueden recoger datos
personales de los usuarios.

c).- Sobre la “Política de Privacidad” de la página web:

A través del enlace, <<Política de Privacidad>>, existente en la página principal, la
web redirige a una nueva página: ***URL.6, donde aparece el mensaje siguiente: “No
se ha podido encontrar la página que buscas. Puede haber sido eliminada, renombra-
da o ni siquiera existir”.

d).- Sobre la “Política de Cookies” de la página web:

En la página de “Política de Cookies”, ***URL.5 , que proporciona el siguiente mensa-
je: “Página no encontrada. No se ha podido encontrar la página que buscas. Puede
haber sido eliminada, renombrada o ni siquiera existir”.

7.- Tras la recepción de las alegaciones a la propuesta de resolución, se comprueba
de nuevo la “Política de Privacidad” y la “Política de Cookies” de las páginas web,
constatando en esta última comprobación las siguientes cuestiones:

A).- Respecto de la página web, ***URL.1:

- Sobre el tratamiento de datos personales en la página web:

1.- En la página inicial, a través de la pestaña: <<contacto>>, la web redirige a un for-
mulario donde se recogen datos personales de los usuarios, como el nombre, el telé-
fono o el email.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/19

- Sobre la “Política de Privacidad” de la página web:

- Sobre la “Política de Cookies” de la página web:

2.- En la misma página inicial, (primera capa), se despliega el siguiente banner con in-
formación sobre cookies:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/19

4.- En la página de “Política de Cookies”, cuyo enlace se encuentra en la parte inferior
de la página, <<política de cookies>>, la web redirige a una nueva página, ***URL.5 ,
que proporciona información sobre, qué son las cookies y para qué se usan; qué infor-
mación guarda una cookie; qué tipo de cookies existen e identifica las cookies que uti-
liza la página web, tanto las propias como las de terceros (Google Analytics), la finali-
dad que tienen y el tiempo que estarán activas en el equipo terminal. Sobre cómo ges-
tionar la instalación de cookies en el equipo terminal, la página web remite al usuario a
configurar el navegador instalado.

B).- Respecto de la página web, ***URL.2 :

Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, la web redirige
al usuario a la página, ***URL.1.

FUNDAMENTOS DE DERECHO

I.-Competencia:

Es competente para resolver este procedimiento, respecto de la política de privacidad
y el tratamiento de los datos personales de los usuarios de las webs, la Directora de la
Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art.
58.2 del RGPD en el art. 47 de LOPDGDD.

Es competente para resolver este procedimiento, respecto de la política de cookies, la
Directora de la Agencia Española de Protección de Datos, de conformidad con lo
dispuesto en el art. 43.1, párrafo segundo, de la de la LSSI.

II
La valoración conjunta de la prueba documental obrante en el procedimiento trae a
conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado re-
flejada en los hechos declarados probados arriba relatados, comprobándose que, tan-
to la política de privacidad y la política de cookies habían sido modificadas tras la inco-
ación del expediente y la notificación de la propuesta de resolución.

Tras la recepción de las alegaciones a la propuesta de resolución, se comprueba de
nuevo la “Política de Privacidad” y la “Política de Cookies” de las páginas web, consta-
tando en esta última comprobación las siguientes cuestiones:
a).- Respecto a la página web ***URL.1:

Con relación al tratamiento de datos personales realizado en la página web, la web re-
dirige a un formulario donde se recogen datos personales de los usuarios, como el
nombre, el teléfono o el email. En la misma página donde se encuentra el formulario,
existe además información sobre, quien es el responsable del tratamiento de los datos
personales; la legitimación que tiene para el tratamiento de los datos (el consentimien-
to); los destinatarios y los derechos que asistente al usuario en relación con el trata-
miento de sus datos personales.

Antes de poder enviar el cuestionario, es necesario aceptar la política de privacidad
marcando la casilla correspondiente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/19

Por otra parte, el usuario puede suscribirse para recibir comunicaciones comerciales
de la entidad marcando la casilla correspondiente, si así lo desea. También existe la
posibilidad de subscribirse a las newlletter de la entidad, rellenando el formulario exis-
tente para este fin.

Con relación a la “Política de Cookies” de la página web, se sigue comprobando que:

- Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la
misma y sin rechazar las cookies, se utilizan cookies no necesarias.

- El banner sobre cookies existente en la primera capa no informa al usuario de
la utilización de cookies de terceros, tampoco se informa de que se mostrará
publicidad relacionada con las preferencias, en base al perfil elaborado a partir
de los hábitos de navegación del usuario.

- Si se opta por rechazar todas las cookies, en el panel de control, dejando todos
los cursores en la posición de <<off>>, se comprueba que la página web sigue
utilizando cookies no necesarias de terceros.

b).- Con respecto de la página web, ***URL.2,

Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, ésta ya no
existe, redirigiendo al usuario a la página, ***URL.1.

III
- Sobre el consentimiento prestado por los usuarios para el tratamiento de sus
datos personales, en la página web ***URL.1.

En la última comprobación que se ha realizado de la página web, se ha podido
constatar que la misma permite recoger el consentimiento del usuario, individualizado
para cada uno de los fines a los que la entidad dedicara el tratamiento de los datos.

El artículo 6.1.a) del RGPD, se establece que, “el tratamiento solo será lícito si el
interesado dio su consentimiento para el tratamiento de sus datos personales para
uno o varios fines específicos”.

Por su parte, el artículo 7 del RGPD, indica, sobre el consentimiento, que:

“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales. 2. Si el consentimiento del interesado se da en el contexto de una
declaración escrita que también se refiera a otros asuntos, la solicitud de
consentimiento se presentará de tal forma que se distinga claramente de los demás
asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/19

No será vinculante ninguna parte de la declaración que constituya infracción del
presente Reglamento (…).

En relación con estos dos artículos citados, se debe tener en cuenta el considerando
(32) del RGPD, pues indica que:

“El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el
silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos…”

Igualmente, el art 6.2 de la LOPDGDD indica, sobre el tratamiento basado en el
consentimiento, que:

“2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.

Por tanto, los hechos conocidos sobre el tratamiento de los datos personales por la
página web, hasta que modificó la recogida del tratamiento de los datos personales
fueron constitutivos de una infracción por vulneración del artículo 7 del RGPD
mencionado.

Por su parte, el artículo 72.1.c) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”.

Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.

No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación: b)
sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando
las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83,
además o en lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular, por lo que, la sanción que pudiera
corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción
del presente expediente, pues en este caso, no se ha constatado que el reclamado
haya realizado envío de comunicaciones ajeno al fin principal.

Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción
de “apercibimiento”, por la infracción del artículo 7 del RGPD, en la página web de su
titularidad, durante el tiempo que estuvo activa la recogida del consentimiento del
usuario de forma genérica para todos los fines del tratamiento de los datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/19

IV
- Sobre la “Política de Cookies” de la página web ***URL.1.

En la última comprobación realizada en la página web en cuestión, y a pesar de haber
observado que se ha vuelto a cambiar la política de cookies de la misma, se ha vuelto
a constatar las siguientes circunstancias no acordes con la normativa vigente:

- Al entrar en la página inicial de la web, sin realizar ninguna otra acción sobre la
misma y sin rechazar las cookies, se utilizan cookies no necesarias.

Por tanto, los hechos expuestos suponen, por parte de la entidad reclamada la
comisión de la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies
en su página web, según el cual:

“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición de que
los mismos hayan dado su consentimiento después de que se les haya facilitado
información clara y completa sobre su utilización, en particular, sobre los fines del
tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13
de diciembre, de protección de datos de carácter personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
un servicio de la sociedad de la información expresamente solicitado por el
destinatario”.

Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del
destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser
sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada
LSSI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/19

Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de
la LSSI:

- La existencia de intencionalidad, expresión que ha de interpretarse como equi-
valente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia
Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a
la entidad denunciada la determinación de un sistema de obtención del consen-
timiento informado que se adecue al mandato de la LSSI.

- Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la pri-
mera reclamación de julio de 2020, (apartado b).

Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada
una sanción de 3.000 euros (tres mil euros), por la infracción del artículo 22.2 de la
LSSI, respecto de la política de cookies realizada en la página web de su titularidad.

V
- Sobre la “Política de Privacidad” de la web: ***URL.2

En las primeras comprobaciones que realizó esta Agencia, sobre la página web, se
comprobó que, a través de las pestañas, <<ejemplos de psico packaging>> y
<<impresión digital online>>, la web redirigía a sendas páginas donde se podían
obtener datos personales. No obstante, a través del link <<Política de Privacidad>>,
que existía en la página principal, la web redirigía a una nueva página, donde se
informa que la página no existía.

Según las alegaciones de la entidad reclamada, esta página web fue creada y publica-
da por decisión propia de un extrabajador sin tener instrucciones de la empresa para
ello, aportando las denuncias presentadas contra el extrabajador por este motivo. A la
vista de lo anterior, este dominio web fue redireccionado por Flexomed a la web
***URL.1, de forma permanente.

Los hechos conocidos son constitutivos de una infracción, por vulneración del artículo
13 del RGPD, al no tener operativa la página donde se debe proporcionar la
información al interesado en el momento de recogida de sus datos personales.

Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”.

17/19

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 permite
fijar una sanción final de “apercibimiento”, al tener en consideración que la página web
en cuestión ya no existe, redirigiendo al usuario a la página web ***URL.1 , y al
corroborar las alegaciones sobre que la web fue creada y publicada por decisión pro-
pia de un extrabajador sin tener instrucciones de la empresa para ello, aportando las
denuncias presentadas contra el extrabajador por este motivo.

VI
- Sobre la “Política de Cookies” de la página web ***URL.2:

Se ha podido comprobar que, al intentar acceder a la página. ***URL.2, ésta ya no
existe, redirigiendo al usuario a la página, ***URL.1.

A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de
Protección de Datos,
RESUELVE:

PRIMERO: SANCIONAR a la entidad FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L.,
con CIF.: B73447393, titular de las páginas web: ***URL.1 y ***URL.2, por las
siguientes infracciones:

A).- Con respecto a la página web ***URL.1:

.- Con una sanción de “apercibimiento”, por Infracción del artículo 7) del RGPD, al rea-
lizar la recogida del consentimiento de los usuarios de una forma genérica, durante el
tiempo que estuvo activa en la página web hasta su modificación y adaptación a la
normativa vigente.

.- Con una sanción de 3.000 euros (tres mil euros), por Infracción del artículo 22.2) de
la LSSI, respecto de la “Política de Cookies” de la página web.

B).- Con respecto a la página web ***URL.2:

.- Con una sanción de “apercibimiento” por la infracción del artículo 13) del RGPD, res-
pecto de la inexistencia de política de privacidad en su página web, comprobando que
existía un tratamiento de los datos personales de los usuarios, tomando en considera-
ción, para la imposición final de la sanción, las alegaciones y la documentación pre-
sentada por la entidad denunciando que la página web había sido creada por un extra-
bajador sin el consentimiento de la empresa.

.- Archivar el presente procedimiento respecto de la “Política de Cookies” de la página
web al comprobar, esta Agencia, que la misma ya no existe.

SEGÚNDO: REQUERIR: a la entidad, FLEXOGRÁFICA DEL MEDITERRÁNEO, S.L.,
para que, en el plazo de un mes, a contar desde la notificación de esta resolución,
adecue la página web de su titularidad (***URL.1), respecto de la “Política de Cookies”,
incluyendo la información necesaria en el banner sobre cookies respecto a la utiliza-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/19

ción de cookies de terceros, así como que se impida la utilización de cookies no nece-
sarias hasta que el usuario no haya consentido su utilización.
SEGUNDO: NOTIFICAR la presente resolución a la entidad FLEXOGRÁFICA DEL
MEDITERRÁNEO, S.L., y al reclamante sobre el resultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Ad-
ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícu-
lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, me-
diante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta
a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciem-
bre, de medidas fiscales, administrativas y del orden social, la presente Resolución se
hará pública, una vez haya sido notificada a los interesados. La publicación se realiza-
rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpo-
ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española
de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la noti-
ficación de esta resolución, o, directamente recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dis-
puesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley
29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el pla-
zo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.

Mar España Martí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/19

Directora de la Agencia Española de Protección de Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Web Sitelerinde Veri Koruma İhlalleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni