← España

AI-00111-2022

1/5  Expediente Nº: AI/00111/2022 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NDEX MEDIA MARKETING S.L. con CIF.: B88422878, titular de la página web: a web www.carlotaduran.com, en virtud de la reclamación presentada por Dª. A.A.A., por la presunta vulneración de por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y vulneración de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 28/04/21, tiene entrada en esta Agencia, escrito presentado por la reclamante, en la que indicaba, entre otras, lo siguiente: “La web carece de Aviso Legal en el que se identifique su titular y se ofrezcan datos de contacto. Sólo aparece la dirección electrónica: info@carlotaduran.com . La Política de Privacidad de dicha página web (https://carlotaduran.com/pages/politica-deprivacidad no identifica en absoluto al responsable del tratamiento de los datos personales tratados, ni proporciona sus datos de contacto”. SEGUNDO: Con fecha 09/06/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de lo siguiente: 1º.- Con fecha 19/10/21 se accede a la “Política de Privacidad” de la página web www.carlotaduran.com, a través del enlace https://carlotaduran.com/pages/politica-deprivacidad, comprobándose que ofrece información sobre, la identidad del responsable de la web; sobre el consentimiento prestado por los usuarios de la web; la finalidad del tratamiento de los datos; la legitimación del tratamiento; los destinatarios con quien compartirán los datos; la posibilidad de transferencia internacional de datos; el tiempo de conservación; las comunicaciones comerciales y promocionales; la responsabilidad del usuarios; los derechos de los usuarios, cómo y dónde ejercitarlos, y la posibilidad de interponer una reclamación ante la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: Con fecha 21/10/21, en el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos indicados en la reclamación y en uso de las facultades conferidas por el artículo 58.1 del RGPD, se dirigió requerimiento de información a la entidad reclamada. QUINTO: Con fecha 07/02/22, se recibe en esta Agencia escrito de contestación de la entidad reclamada, en el cual, entre otra, indica lo siguiente: “La identidad y los datos de contacto del responsable son Index Media Marketing SL, provista de NIF B88422878 y con domicilio en C/ Dolores 2, 28039 Madrid. Dicha información se puede ver en la página web en el siguiente enlace; https://carlotaduran.com/pages/politica-de-privacidad Respecto a los datos de contacto del delegado de protección de datos, se ha de manifestar que la empresa no tiene obligación legal de tenerlo. No obstante, cualquier interesado puede ejercitar sus derechos en la dirección info@carlotadura.com . Finalidad del tratamiento de datos.- Tal y como se puede observar en la página web, la empresa utilizará los datos con la siguiente finalidad: 1. Datos facilitados para formalizar una compra. Por aplicación del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) el tratamiento de los datos llevado a cabo por la mercantil son lícitos ya que el interesado siempre debe manifestar su consentimiento para el tratamiento de datos personales y dichos datos son necesarios para la ejecución de un contrato en el que el interesado es parte, artículo 6 a) y b) del reglamento. INDEX MEDIA MARKETING no transfiere datos personales a un tercer país u organización internacional. Conservación de los datos. Tal y como se pude desprender de las políticas de privacidad de la página web, la conservación de los datos variará en función del tipo de dato facilitado: • Datos facilitados para formalizar una compra: Los datos facilitados para gestionar, tramitar, enviar y dar seguimiento a las compras realizadas se conservarán durante la relación contractual y, una vez finalizada la misma, durante el plazo de 3 años. Los datos utilizados para contactar con el Usuario para finalizar el pedido si ha guardado su carrito de compra o ha guardado productos en su carrito de compra sin finalizar el proceso de pago serán conservados durante 180 días. Los datos relativos a encuestas de satisfacción y calidad serán conservados cinco

(5)años. INDEX MEDIA MARKETING SL ha intentado limitar el uso de conservación de los mismos y no mantendrá los datos facilitados por los usuarios más tiempo del estrictamente necesario. Ejercicio de derechos. Los interesados pueden ejercer sus derechos de revocar el consentimiento otorgado, obtener confirmación acerca de si se están tratando datos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 concierne al usuario, acceso, rectificación, derecho de supresión, limitación, y portabilidad, a través de la dirección de correo info@carlotaduran.com o también a la dirección de Calle Dolores Numero 2, 3 C, 28039. La empresa informa en el apartado 12 de la política de privacidad, que los usuarios pueden Interponer una reclamación relativa a la protección de sus datos personales ante la Agencia Española de Protección de Datos en la dirección C/ Jorge Juan, 6, 28001 - Madrid, cuando el interesado considere que Carlota Duran ha vulnerado los derechos que le son reconocidos por la normativa aplicable en protección de datos. La mercantil requiere de los datos personales de los usuarios para poder llevar a cabo la relación contractual, pues de lo contrario sería imposible realizar la misma. Index Media informa en su página web sobre los datos para la elaboración de perfiles, estableciendo un plazo de duración limitado de 3 años. La voluntad INDEX MEDIA ha sido la de cooperar en todo momento con la Agencia Española de Protección de datos y poder solventar todas aquellas dudas que puedan surgir. Por todo lo expuesto”, FUNDAMENTOS DE DERECHO I- Competencia. Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a la autoridad de control, así como, lo establecido en los arts. 47, 64.2 y 68.1 de la Ley, LOPDGDD. II.- Síntesis de los hechos. Según el reclamante, en la “Política de Privacidad” de la web www.carlotaduran.com (https://carlotaduran.com/pages/politica-de-privacidad no se identifica al responsable del tratamiento de los datos personales tratados, ni proporciona sus datos de contacto”. Según ha podido constatar esta Agencia, al acceder a la “Política de Privacidad” de la página web www.carlotaduran.com, se ofrece información sobre, la identidad del responsable de la web; sobre el consentimiento prestado por los usuarios de la web; la finalidad del tratamiento de los datos; la legitimación del tratamiento; los destinatarios con quien compartirán los datos; la posibilidad de transferencia internacional de datos; el tiempo de conservación; las comunicaciones comerciales y promocionales; la responsabilidad del usuarios; los derechos de los usuarios, cómo y dónde ejercitarlos, y la posibilidad de interponer una reclamación ante la AEPD. III.- Sobre la “Política de Privacidad” en la web www.carlotaduran.com Establece el considerando 61) del RGPD que: “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información. En este sentido, el artículo 12.1 del RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. El artículo 13 del RGPD, detalla, la información que se debe facilitar al interesado cuando los datos son recogidos directamente de él, estableciéndose lo siguiente: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
  1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  2. b)los datos de contacto del delegado de protección de datos, en su caso;
  3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  10. d)el derecho a presentar una reclamación ante una autoridad de control;
  11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la entidad NDEX MEDIA MARKETING S.L. con CIF.: B88422878, titular de la página web: a web www.carlotaduran.com, y a Dª. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.