1/4 Expediente N.º: EXP202304696 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22/03/2023, se presentaron dos reclamaciones ante la Agencia Española de Protección de Datos contra ANTA Y FERRERO, S.L. con NIF B87730149 (en adelante, ANTA Y FERRERO), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Las partes reclamantes manifiestan que el sitio web luganosrestaurante.com, en el apartado “Superpedidos”, aparece publicados todos los datos de las personas que han realizado un pedido online (nombre, apellidos, teléfono y dirección de entrega), junto al contenido de los mismos, con fecha y hora. Junto a las reclamaciones aportan capturas de pantalla de lo que sería la página web luganorestaurante.com/superpedidos/ y de la búsqueda realizada en Google al introducir “Restaurante Lugano”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en fecha 17/04/2023 y 09/05/2023 se dio traslado de dichas reclamaciones a ANTA Y FERRERO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Ambos traslados se practicaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica. Sin embargo, el primero de ellos fue recogido en fecha 24/04/2023 como consta en el acuse de recibo que obra en el expediente; pero, el segundo, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 20/05/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal. No obstante, resultó notificado por comparecencia ante el servicio de Dirección Electrónica Habilitada Única (en adelante, DEHÚ) el 22/05/2023. En dicha notificación, se le recordaba su obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 17/05/2023, se recibe en esta Agencia escrito de ANTA Y FERRERO en el que solicita copia de determinados documentos relacionados con la primera de las reclamaciones, remitiéndose la copia solicitada el 19/05/2023. TERCERO: Con fecha 22/06/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite las reclamaciones presentadas. CUARTO: Con fecha 28/02/2024, mediante diligencia realizada por esta Agencia se incorpora al expediente las comprobaciones realizadas el 20/02/2024 relativas los siguientes aspectos: Resultado de la búsqueda en Google de “Restaurante Lugano”. Impresión de pantalla de la https://luganorestaurante.com/superpedidos/ página del sitio web FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Integridad y confidencialidad El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” III Conclusión Con fecha 22/03/2023 tuvieron entrada en esta Agencia dos reclamaciones dirigidas contra ANTA Y FERRERO por la publicación en su página web restaurantelugano.com de datos personales de sus clientes como consecuencia de la realización de pedidos online. Las partes reclamantes aportaron junto a sus respectivas reclamaciones capturas de pantalla que corresponderían al apartado “Superpedidos” del sitio web en cuestión. En los pantallazos se aprecia la dirección web luganorestaurante.com/superpedidos/ y un recuadro en el que aparecen los datos personales de distintas personas como nombre, apellidos, teléfono y dirección. Además, la primera parte reclamante adjunta una captura de pantalla de lo que aparecería en el navegador web de Google cuando se realiza la búsqueda “Restaurante Lugano”, en la que figura un acceso directo al apartado “Superpedidos”. No obstante lo anterior, tras las comprobaciones realizadas por esta Agencia en fecha 20/02/2024, resulta probado que al acceder a la dirección https://luganorestaurante.com/superpedidos/ aparece el siguiente mensaje (traducción no oficial, en inglés el original): “Perdón, pero la petición solicitada no se encuentra en este sitio. Por favor, inténtelo de nuevo o contacte con el administrador de asistencia”. En ningún caso se observa un listado con datos personales de clientes. Asimismo, realizada la búsqueda en el navegador web de Google de “Restaurante Lugano”, no figura ningún acceso directo a la sección “Superpedidos”. En consecuencia, no se ha podido constatar que, efectivamente, en el apartado “Superpedidos” del sitio web restaurantelugano.com había publicado un recuadro con datos personales de las personas que realizaron pedidos online. Así pues, efectuadas las diligencias pertinentes por esta Agencia, no ha sido posible constatar la infracción. Procede, por tanto, el archivo de las actuaciones, sin perjuicio de que la Agencia aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en las reclamaciones. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ANTA Y FERRERO, S.L. y a las partes reclamantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el artículo 114.1.
- c)de la LPACAP, y de conformidad con lo establecido en los artículos 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es