1/7 Expediente Nº: E/00247/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante A.A.A., en virtud de denuncia presentada por BULL SPORT NUTRITION IBERICA SL y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 31 de octubre de 2012 tiene entrada en esta Agencia un escrito de BULL SPORT NUTRITION IBERICA SL en el que se declara que el sitio web nutrieuropa.es / nutrieuropa.com no cumple con la legislación española en materia de Protección de Datos dado que no están inscritos los correspondientes ficheros en la Agencia Española de Protección de Datos, no se aclara la forma de recabar los datos de los usuarios del sitio web, y no aparece identificada la mercantil o persona titular, por lo que se desconoce la legalidad del tratamiento de los datos recabados. Indican que tampoco solicitan la autorización del usuario para enviar comunicaciones. Indican que el responsable de la web es D. A.A.A., aportando su dirección y número de DNI, así como el proveedor de servicios de internet. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Sobre la Inscripción de los ficheros de datos personales, por parte de esta Inspección de datos se ha verificado la existencia de un formulario de recogida de datos personales para clientes en el sitio www.nutrieuropa.com. Así mismo, realizadas búsquedas en el Registro General de Protección de Datos de esta Agencia no se han encontrado inscripciones de ficheros titularidad del denunciado. Cabe indicar que el dominio nutrieuropa.es se encuentra redirigido a nutrieuropa.com por lo que al intentar acceder al sitio web www.nutrieuropa.es automáticamente los servidores de dominios de Internet redirigen a www.nutrieuropa.com, mostrándose este último. Se ha solicitado información y documentación al denunciado sobre la inscripción de los ficheros de datos, manifestando éste que “es propietario del dominio nutrieuropa.es, no siendo por el contrario propietario del dominio nutrieuropa.com quien su propietario reside en otro país que no es España (Anteriormente Portugal y actualmente en Estados Unidos), y por lo tanto al no residir en España, no debe tener inscritos fichero alguno en la AGPD de España” Indica además que “otros datos que me solicitan al no ser el propietario del dominio nutrieuropa.com, no tengo acceso a los mismos. De desear conocerlos contactar por medio de la información “who is” del dominio advirtiendo que realizar el escrito en lengua inglesa ya que el propietario residente estadounidense únicamente entiende esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 lengua por escrito”. No obstante lo anterior, esta Inspección de Datos verificó, con fecha 14/02/2013, es decir, con anterioridad al requerimiento efectuado al denunciado, mediante consulta realizada a la base de datos accesible públicamente “Whois”, de registros de dominios de Internet, que el titular del dominio nutrieuropa.com constaba en esa fecha como “***NOMBRE.1” figurando como contacto administrativo “A.A.A.”. Sin embargo, se ha verificado en fecha 5/07/2013 ( después de la contestación del denunciado ) que el dominio nutrieuropa.com consta, en la base de datos whois, como titularidad de “Whoisguard” entidad de Los Angeles, California, verificándose también que dicha entidad WhoisGuard ofrece el servicio de ocultación de la información del titular del dominio en la base de datos de acceso público “Whois”. Por otro lado, el denunciante ha aportado a esta Inspección de Datos la información de que nutrieuropa.com se encontraba alojada bajo la dirección IP ***IP.1 cuyo proveedor de servicios es la empresa española SYNC INTERTAIMENT, SL. Realizado un requerimiento de información a dicho proveedor de servicios, éste ha confirmado que los datos del cliente que contrató los servicios de registro de nombre de dominio nutrieuropa.com (alta 04/11/2005) y del servicio de hosting asociado al mismo son “A.A.A., NIF ***NIF.1, Lanzarote, Las Palmas ….” A fecha 24 de abril de 2013 de la contestación de SYNC INTERTAIMENT, SL, el servicio de hosting estaba de baja y el servicio de registro activo. Indicar que se ha verificado que en la actualidad (a fecha del presente informe) la máquina www.nutrieuropa.com tiene asignada la dirección IP ***IP.2, dirección IP española correspondiente al proveedor REDCORUNA, SLU, de Lugo. Con respecto a la información relativa al artículo 5 de la LOPD se comprobó en dos ocasiones distintas, en fechas 14/02/2013 y 05/03/2013 que el enlace “Política de Privacidad” situado al pie del formulario de recogida de datos en la página web www.nutrieuropa.com no funcionaba, mostrando el literal ”página no encontrada”. Sin embargo, a fecha 08/07/2013, sí funciona, mostrando información sobre la incorporación de los datos personales solicitados en un fichero, indicando que serán tratados con las exigencias legales impuestas, manteniéndose las medidas de seguridad. Informa que los usuarios podrán ejercitar los derechos de acceso, rectificación y cancelación según establece la directiva 2002/58/CE. No se hace alusión al responsable del fichero ni la dirección o medio de ejercitar los derechos. A esta misma información se llega mediante el enlace “”privacidad”, que aparece ahora en la izquierda de la página, en el menú principal de productos, servicios e información. Dicho enlace no aparecía en el sitio web antes del requerimiento efectuado al denunciante desde esta Agencia. Si aparecía y sigue apareciendo información de Protección de Datos dentro de las Condiciones Generales de Compra, aludiendo similarmente a la posibilidad de ejercitar los derechos de protección de datos (incluyendo en este caso el derecho de oposición). No se encuentra entre ella información sobre el responsable del fichero ni su dirección. En fecha de 16/12/2013 se accedió a www.nutrieuropa.com sin que se encuentre información sobre el responsable del fichero ni la dirección o medio para ejercitar los derechos. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo RDLOPD) dispone que: “Artículo 1. Objeto. 1. El presente reglamento tiene por objeto el desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal. 2. Asimismo, el capítulo III del título IX de este reglamento desarrolla las disposiciones relativas al ejercicio por la Agencia Española de Protección de Datos de la potestad sancionadora, en aplicación de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, en el título VII de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico, y en el título VIII de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. “ A su vez, el artículo 122 del RDLOPD establece en relación con la iniciación de las “Actuaciones Previas” de investigación, lo siguiente: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En el presente caso la entrada de la denuncia en el Registro General de Entrada de la Agencia Española de Protección de Datos, se produce en fecha de 31/10/2012, y a la vista de que en fecha de 31/10/2013 no se dicto y notifico el Acuerdo de Inicio del Procedimiento sancionador en que hubieran derivado aquellas, sea de declarar la Caducidad de las Actuaciones Previas de Inspección E/247/2013. III Establecido lo anterior el artículo 92.3 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. El artículo 47 de la LOPD, establece en cuanto a la prescripción de las infracciones que: ”Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.” Dicho precepto, ha de ponerse en relación con lo dispuesto en el artículo 132.2 de la citada Ley 30/1992, de 26 de noviembre, que dispone que: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)” En el presente caso, los hechos denunciados podrían suponer, a la vista de la información disponible en la actualidad por esta Agencia, la comisión por parte de las entidades denunciada de las infracciones de los arts. 5 y 26 de la LOPD, que señalan respectivamente: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. Y el art. 26: 1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación. 4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación. 5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos. Ambas infracciones tipificadas como leve en los artículos 44.2
- c)y 44.2
- b)de la LOPD y teniendo en cuenta que a fecha de 16/12/2013 en el sitio web http://nutrieuropa.com/ no se ofrece información en la recogida de datos personales ni consta fichero inscrito en el RGPD, se ha de establecer como dies a quo para el computo de la prescripción al menos dicha fecha, no estando prescrita dicha infracción. IV Respecto de la apertura de nuevas actuaciones de inspección en relación con una infracción no prescrita, conviene citar la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo en Sentencia de 12 de junio de 2003, ( RJ 2003, 4602), dictada en un recurso de casación en interés de ley en la que se fijó la siguiente doctrina legal :”La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito (STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001. A mayor abundamiento, en este mismo sentido se expresa la Audiencia Nacional en Sentencia 3312/2013 de fecha 10 de julio de 2012, Recurso nº 323/2012, en un caso en que la supuesta infracción a la normativa de protección de datos no había prescrito con posterioridad a la adopción, por el Director de la Agencia de protección de Datos, de una resolución de archivo por caducidad de las actuaciones previas de inspección practicadas. Consta en la reseñada Sentencia de la Audiencia Nacional 3312/2013 lo siguiente: “TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. En aplicación de la doctrina jurisprudencial anterior procede declarar caducadas las actuaciones previas de inspección practicadas en el expediente nº E/002472013, al objeto de verificar el incumplimiento de los preceptos citados se dan instrucciones a la Subdirección General de Inspección de Datos para que se inicien nuevas actuaciones previas de investigación y se abra con tal motivo el expediente número E/154/2014. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación del expediente nº E/00247/2013. 2. INICIAR nuevas actuaciones previas de investigación que se seguirán bajo la referencia del expediente número E/154/2014. 3. NOTIFICAR la presente Resolución a A.A.A. , SYNC INTERTAINMENT S.L. y a BULL SPORT NUTRITION IBERICA SL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es