← España

AI-00387-2024

1/10  Expediente N.º: EXP202404053 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de enero de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra GUAU-GUAU.COM (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que ha formulado varias solicitudes de ejercicio del derecho de acceso ante el responsable del sitio web https://guau-guau.com/, que no aparece identificado en la política de privacidad disponible en el sitio web. El 12/09/2023 el reclamante ejerció el derecho de acceso en su propio nombre, remitiendo la solicitud a la dirección de correo electrónico que constaba en la Política de Privacidad en la web de Guau-Guau.com: ***EMAIL.3, además, la envió a los contactos de soporte que constaban para clientes: ***EMAIL.5 y ***EMAIL.6 desde la cuenta de correo electrónico ***EMAIL.1 acorde a lo determinado en el artículo 15 del RGPD y artículo 13 de la LOPDGDD. Una vez transcurrido el plazo de un mes y al no haber recibido respuesta por parte del responsable del tratamiento el reclamante interpuso el 23/10/2023 reclamación ante la AEPD. La Agencia Española de Protección de Datos dio respuesta a la reclamación anterior, en el expediente número EXP202318563, inadmitiéndola por resolución de 21/12/2023, debido a los siguientes motivos: “En el presente caso no consta que el responsable haya tenido conocimiento de ninguna solicitud de ejercicio de derechos formulada por el reclamante que, además de los cauces de comunicación establecidos en el sitio web, puede hacer uso, también, de la dirección de contacto con el titular del dominio de internet indicado, y que puede localizar en los directorios de whois (en este caso, ***EMAIL.8). Cuando usted ejercite los derechos de protección de datos, el responsable del tratamiento deberá, de forma gratuita (salvo que la solicitud sea infundada o excesiva, especialmente por su carácter repetitivo), facilitarle información en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. Si no logra que sean atendidos sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 derechos y desea la intervención de esta Agencia podrá, una vez concluido el plazo previsto, presentar una nueva reclamación, aportando una copia íntegra de la solicitud, cursada por un medio que permita acreditar el envío y, si resulta posible, su recepción por el responsable del tratamiento, así como de la contestación recibida, en su caso”. El reclamante procedió a solicitar de nuevo el derecho de acceso a fecha 21/09/2023 desde el email: ***EMAIL.2, utilizando el modelo publicado por la misma Agencia a las direcciones ***EMAIL.7, ***EMAIL.3, ***EMAIL.4, ***EMAIL.5, ***EMAIL.6, además de al correo electrónico: ***EMAIL.8. A fecha de presentación de la reclamación ante la AEPD, el reclamante no había recibido respuesta por parte del responsable del tratamiento, habiendo transcurrido casi cinco meses desde la primera comunicación. Fecha en la que tuvieron lugar los hechos reclamados: 12 de marzo de 2024 Documentación relevante aportada por la parte reclamante:  DOCUMENTO Nº1: Copia de los derechos de acceso ejercidos por el reclamante el 12/09/2023 desde el correo: ***EMAIL.1.  DOCUMENTO Nº2: Captura de pantalla de la política de privacidad de la página web reclamada: (https://guau-guau.com/policies/privacy-policy).  DOCUMENTO Nº 3: Resolución de 21/12/2023 de la AEPD inadmitiendo la reclamación presentada por el reclamante por no constar que el responsable tuviera conocimiento de ninguna solicitud de ejercicio de derechos formulados por el reclamante.  DOCUMENTO Nº4: Reclamación presentada por el reclamante el 23/10/2023 ante la AEPD.  DOCUMENTO Nº5: Copia del correo electrónico enviado por el reclamante al responsable del tratamiento de GUAU-GUAU.COM, desde el correo electrónico: ***EMAIL.2, a los correos electrónicos de la parte reclamada: ***EMAIL.7, ***EMAIL.3, ***EMAIL.4, ***EMAIL.5, ***EMAIL.6. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha de 12/03/2024 se realizó una consulta a Whois, obteniendo información de esta página en la que se indicaba que la “IP Location” estaría en Ontario, Ottawa, Canadá, así como un “Reseller”: Shopify. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 También consta en el expediente evidencia de los términos del servicio, de la política de privacidad y la información de contacto de la parte reclamada, en la que figura como lugar de contacto: Calle Manantial 13 Puerto Santa Maria, 11500 (Cádiz) y el correo electrónico: ***EMAIL.9. El traslado, que se practicó el 15/03/2024 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable, al ser devuelto por desconocido; reiterándose el traslado por correo postal certificado, pero fue nuevamente devuelto por “dirección incorrecta”. Asimismo, 26/03/2024 se realizó una consulta de bienes e inmuebles al Catastro solicitando información sobre el inmueble que constaba en la página web del reclamado como domicilio de notificaciones: ***DIRECCIÓN.1, resultando que este inmueble es de titularidad del ***AYUNTAMIENTO.1. Con fecha de 26/04/2024 se solicitó información a la Agencia Tributaria sobre el NIF y el domicilio social de la parte reclamada, contestando en esa misma fecha la Agencia Tributaria que: “en contestación a la solicitud de la Agencia Española de Protección de Datos con número de registro RGE725018762024, según los datos obrantes en la Base de Datos de la Agencia Estatal de Administración Tributaria, se comunica que no se han podido obtener los datos requeridos con la información facilitada.” TERCERO: Con fecha 29 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los hechos alegados por la parte reclamante, falta de contestación al derecho de acceso, se apoyan en diversa documentación que acompañó el reclamante a su reclamación. Sin embargo, la solicitud de derecho de acceso no fue contestada por la parte reclamada a pesar de que las solicitudes se dirigieron a las direcciones de correo que figuraban en su página web como direcciones de contacto. Tampoco ha sido posible a esta Agencia el traslado de la reclamación a la parte reclamada ya que los dos intentos de traslado resultaron devueltos por Correos por domicilio desconocido y erróneo. Con fecha de 13/11/2024 se mandó un requerimiento a Shopify International Limited, entidad que según Whois sería la revendedora de la página web reclamada, solicitando la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 “Datos de que disponga sobre el titular del dominio ‘GUAU-GUAU.COM’ (nombre y apellidos o razón social, número de documento identificativo, dirección postal, número de teléfono, dirección de correo electrónico, otros datos identificativos que pueda proporcionar).” Este requerimiento fue notificado por medio de certificado internacional de Correos al domicilio de Shopify International Limited en Dublín (Irlanda), resultando entregado el 26/11/2024, sin haber recibido contestación hasta la fecha. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado El artículo 12 del RGPD estipula: "1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
  3. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
  4. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 III Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  6. b)los datos de contacto del delegado de protección de datos, en su caso;
  7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  14. d)el derecho a presentar una reclamación ante una autoridad de control;
  15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  16. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." IV Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  17. a)los fines del tratamiento;
  18. b)las categorías de datos personales de que se trate;
  19. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  20. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  21. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  22. f)el derecho a presentar una reclamación ante una autoridad de control;
  23. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  24. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 V Conclusión Entre los elementos esenciales de todo procedimiento sancionador se encuentra el responsable, esto es, aquel a quien se le atribuyen los hechos tipificados como infracción administrativa tras el desarrollo de un procedimiento sancionador. Así, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
  25. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: “
  26. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. En el presente caso, los hechos alegados por la parte reclamante, falta de contestación al derecho de acceso, se apoyan en diversa documentación que acompañó la parte reclamante a su reclamación. Sin embargo, la solicitud de derecho de acceso no fue contestada por la parte reclamada en las direcciones de correo que figuraban en su página web como direcciones de contacto. No obstante, pese a las actuaciones realizadas por la Agencia Española de Protección de Datos, entre ellas, la remisión de un requiriendo el 13/11/2024 a Shopify International Limited, entidad que según Whois sería la revendedora de la página web reclamada, no se ha podido identificar al presunto responsable. Por ello la Agencia Española de Protección de Datos, como autoridad de control en materia de protección de datos personales, en virtud de los preceptos anteriormente indicados, ha de proceder al archivo del presente expediente al no poder identificarse adecuadamente al presunto responsable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  27. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.