AI-00353-2024

1/5  Expediente N.º: EXP202409487 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 27 de mayo de 2024 se presentó reclamación ante la Agencia Española de Protección de Datos contra ***EMPRESA.1 (...) (en adelante, la parte reclamada o ***EMPRESA.1). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se registró en ***URL.1 interesada en un servicio ofertado por su responsable. Asimismo indica que, en el contexto de una posterior reclamación relacionada con la insatisfacción por las condiciones vinculadas al citado servicio, ha sido incapaz de identificar al responsable del tratamiento de sus datos personales ya que en el sitio web no se facilita ninguna información relacionada con ello. Aporta correos electrónicos intercambiados dirigidos al buzón electrónico ***EMAIL.1, que acreditan la relación comercial. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Trasladada la reclamación al representante en la Unión Europea de la entidad KAJABI LLC, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15 de julio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 30 de julio de 2024 se recibe en esta Agencia escrito de respuesta indicando que su cliente (***EMPRESA.2) es el único responsable del contenido del sitio y de atender las obligaciones de protección de datos. Únicamente facilitan la dirección de correo electrónico ***EMAIL.2 del titular de ***EMPRESA.2. TERCERO: Con fecha 27 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se obtuvo del sitio web ***URL.1 el documento de garantía en la dirección de internet “***URL.2”. Este documento remite para la resolución de controversias a la entidad ***EMPRESA.1, (…), también facilitan la dirección de correo electrónico de contacto ***EMAIL.1, y no se encuentra ningún otro documento en el que conste el responsable del tratamiento de los datos de carácter personal, el tratamiento llevado a cabo de éstos, ni los derechos del interesado. Realizada una búsqueda en el sistema de información AXESOR CONOCER PARA DECIDIR S.A. de la entidad estadounidense ***EMPRESA.1 se comprueba que el domicilio de esta entidad es diferente del proporcionado por el sitio web, estando radicada en el estado de Wyoming (EEUU). Realizada una búsqueda a través de internet de ***EMPRESA.2 se encuentra un perfil en la red social Facebook en la URL ***URL.3. En este perfil constan los siguientes datos: teléfono (de operadora italiana), dirección de correo electrónico de contacto (la misma que utilizó la parte reclamante para contactar con el titular del sitio web) y dirección del sitio web (***URL.4). Según se ha podido comprobar, el número de teléfono publicado no estaba asignado a ningún cliente, la dirección de correo electrónico publicada, a fecha de 31 de marzo de 2025, ya no existía, y, en esta misma fecha, el sitio web publicado redirigía automáticamente al sitio web ***URL.5, dedicado a la creación autónoma de sitios web. Finalmente, con fecha de 24 de julio de 2025 se realiza otro intento de acceso comprobando que el sitio web ***URL.4 devolvía el error “No se encontró la dirección IP del servidor de ***DOMINIO.2”. Adicionalmente, se comprueba que el dominio correspondiente a la dirección de correo electrónico publicada en Facebook y a la que se dirigió la reclamante, ***DOMINIO.1, ha sido liberado y está a la venta. Se realiza nueva comprobación con fecha de 24 de julio de 2025 de la disponibilidad de este dominio comprobándose ha sido registrado nuevamente por la entidad IONOS SE. Se remite requerimiento de información a la entidad con sede en España IONOS Cloud S.L.U. solicitando la información necesaria que pudiera esclarecer o aportar indicios de la titularidad del dominio en el momento de la presentación de la reclamación. Como consecuencia de este requerimiento, con fecha de 11 de agosto de 2025 se recibe en esta Agencia escrito remitido por esta entidad informando de que el dominio ***DOMINIO.1 fue registrado por esta entidad a petición de uno de sus clientes con fecha de 3 de junio de 2025 y confirman que este dominio no estuvo registrado por su entidad en el momento de la reclamación. De todo lo anterior, dada la identificación de la entidad titular del sitio web con datos falsos, el perfil de la red social Facebook con datos no válidos, sitios web cerrados con celeridad y dominios que han sido eliminados, se desprende que el sitio web reclamado podría tratarse de un portal fraudulento no habiendo sido posible identificar la titularidad del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III Conclusión En la presente reclamación, de las actuaciones de investigación realizadas por esta Agencia respecto de los hechos reclamados se han encontrado varios indicios que señalan a la existencia de un sitio web fraudulento, pero no se ha podido determinar la titularidad del sitio web reclamado al publicar datos de contacto no válidos y haber sido eliminada con celeridad toda vinculación con su titular. Todas las actuaciones se han realizado en cumplimiento de lo establecido legalmente, y con la finalidad de determinar, con la mayor precisión posible, las circunstancias relevantes que pudieran concurrir en el caso, resultando infructuosa la investigación, ya que la página objeto de reclamación ha desaparecido. De ahí que no se den las condiciones para iniciar un procedimiento sancionador por infracción de la LOPDGDD, ni continuar las actuaciones investigadoras. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es