← España

E-01731-2014

1/8 Expediente Nº: E/01731/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante D.ª A.A.A., en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 11/02/2014 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo el denunciante), en el que expone que la página web de “comercio electrónico http://www.........” no se encuentra registrada en la AEPD, no informa a dónde dirigirse para ejercitar los derecho ARCO, no facilita el NIF de la persona física o jurídica propietaria de la página ni las condiciones generales de venta. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 11 de febrero de 2013, escrito presentado por D. B.B.B. (en adelante denunciante) manifestando que la página web <http://www.........> no se encuentra registrada en la AEPD y no incluye donde hay que dirigirse para ejercer los derechos ARCO, ni el NIF y dirección de la persona física o jurídica propietaria de la web. Si bien, el denunciante no acredita dichas circunstancias ni que a través de dicha página web se hubieran tratado sus datos personales o de terceros. ACTUACIONES PREVIAS DE INSPECCIÓN 1 La Inspección de Datos ha verificado que en la página web <http://www.........> consta un impreso Contacto en el que se recaban los siguientes datos personales: nombre, email, subject y message. También, se ha comprobado que, en el pie de la página, figuran “Condiciones generales de uso y aviso legal”, en el que no se especifican los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999. Dichas circunstancias se detallan en la Diligencia de fecha 30 de octubre de 2014. 2 La titular del sitio web <http://www.........> A.A.A. ha comunicado a la Inspección de Datos, con fecha de 30 de diciembre de 2014, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 La causa por la que no se informa de los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999 reside en la falta de recursos dada la difícil situación económica por la que están atravesando. Desde ayer la página cuenta con un “Aviso legal. Política de privacidad y condiciones generales”, que haciendo click en el mismo el usuario accede a unos contenidos en los que, entre otras cosas, se atiende el derecho de información de los interesados, se adjunta impresión del mismo. También, se ha procedido a realizar solicitud de inscripción de creación de los ficheros “clientes y proveedores”, “personal y recursos humanos” y “videovigilancia”, no pudiendo aportar los códigos de inscripción de dichos ficheros a la fecha de edición del presente documento, se adjunta copia. 3 4 El denunciante no ha sido cliente, ni ha tenido relación contractual, profesional ni de ningún tipo con El Mercadillo de Lola, ni ha presentado reclamación de ningún tipo. Si bien, es propietario de un comercio que se encuentra muy próximo a la tienda de la denunciada. En el Registro General de Protección de Datos figura inscrito el fichero denominado “CLIENTES Y/O PROVEEDORES”, con el código ***CÓD.1, cuyo responsable es A.A.A.. Dichas circunstancias constan en la Diligencia de fecha 12 de enero de 2015. La Inspección de Datos ha verificado que, en la página web <http://www.........>, figura un impreso Contacto en el que se recaban los siguientes datos personales: nombre, email, subject y message y a continuación el texto “HE LEIDO Y ACEPTO EL AVISO LEGAL, LA POLITICA DE PRIVACIDAD Y LAS CONDICIONES GENERALES”. También, se ha verificado que figura información, en el pie de la página, relativa al artículo 5 de la Ley Orgánica 15/1999: “Aviso Legal. Política de Privacidad y condiciones generales” y, en concreto, lo siguiente: AVISO LEGAL A.A.A. es una persona física que tiene por objeto la comercialización de ropa y complementos para señora. El dominio de Internet ........ es propiedad de A.A.A., que tiene su domicilio social en (C/..........1), Madrid. Tel.- ******448. El NIF de A.A.A. es ***NIF.1. EL DERECHO DE INFORMACIÓN Conforme al Art.5 de la LOPD le informamos de que los datos suministrados por usted van a pasar a formar parte de un fichero propiedad de B.B.B., encontrándose inscrito en el Registro General de Protección de Datos, siendo la única destinataria de la información suministrada. La finalidad del tratamiento será atenderle adecuadamente, consintiéndolo usted de forma expresa. El responsable del fichero es A.A.A. que tiene su domicilio en (C/..........1), Madrid, pudiendo ejercitar sus derechos de acceso, rectificación, cancelación y oposición mandando escrito a (C/............1), Madrid (…). 6. Privacidad y Protección de Datos Personales Mediante la entrega de la dirección de correo electrónico u otros datos personales, los usuarios dan su permiso para que dichas direcciones sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 tratadas y además, utilizadas para enviar comunicaciones relativas a la actividad desplegada por B.B.B. que pone a disposición de los usuarios la dirección de correo postal (C/............1), Madrid, para que éstos revoquen el consentimiento prestado, acreditando su personalidad por cualquier medio válido en derecho (…). Dichas circunstancias se detallan en la Diligencia de fecha 12 de enero de 2015.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) II La Ley 34/2002, de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI), en su artículo 19, a propósito del régimen jurídico de las comunicaciones comerciales, establece en su apartado 2: “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. La LOPD, por su parte, dispone en el artículo 5, “ Derecho de información en la recogida de datos”: “ 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (…) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 3. No será necesaria la información a que se refieren las letras b),
  7. c)y
  8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (…).” (El subrayado es de la AEPD) El artículo 26 de la LOPD relativo a la “Notificación e inscripción registral” señala: “ 1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos. 2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros. 3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.” III Son varias las cuestiones sobre las que versa la denuncia que examinamos: Por una parte, que la página web www......... no ofrece información sobre dónde ejercitar los derechos de acceso, rectificación, cancelación y oposición (ARCO), ni sobre el NIF del titular de la página, ni sobre la dirección de contacto. Por otra, que el fichero no se encuentra inscrito en el Registro General de la AEPD. La denuncia plantea también otras cuestiones que son ajenas a la competencia que la AEPD tiene atribuida, como la falta de información sobre las condiciones generales de venta. Con arreglo a los artículos 10.1.
  9. f)y 43 de la LSSI, la denuncia sobre estos extremos deberá dirigirse a los órganos competentes en materia de consumo de la correspondiente Comunidad Autónoma o bien, a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). A) La Inspección de la AEPD constató en fecha 30/10/2014 que en la página web www......... existe un formulario, bajo la rúbrica “Contacto”, a través del cual se recaban datos personales y que el apartado “Condiciones generales de uso y aviso legal”, que figura al pie de la página en el margen derecho, enlaza a una página que no ofrece la información que preceptivamente debe facilitarse al titular de los datos en el momento de su recogida de conformidad con el artículo 5 de la LOPD. A este respecto, obra en el expediente la Diligencia de fecha 30/10/2014, de la Inspectora de Datos, con el resultado de la consulta hecha a la citada página web. Recordemos que a tenor del artículo 5.2. de la LOPD cuando se utilicen cuestionarios para la recogida de datos personales - como sucede en el presente casono sólo es obligatorio ofrecer la información a la que se refiere el apartado 1 del artículo 5, sino que, además, el precepto añade que éstos constarán “en forma claramente legible”. D.ª A.A.A. (en lo sucesivo, la denunciada) respondió al requerimiento informativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 que le hizo la Inspección de Datos de la AEPD mediante escrito que tuvo entrada en este organismo el 30/12/2014. En él la denunciada manifestó que era titular de la página web sobre la que versa la denuncia, explicó que la razón por la que no se ofrecía la información exigida legalmente era la falta de recursos destinados a esta área “dada la grave situación económica que estamos atravesando” y añadió –aportando prueba documental- que la página web cuenta ya con un Aviso legal, Política de Privacidad y Condiciones Generales que se ajustan a lo exigido por el artículo 5 de la LOPD. Manifestó también que había solicitado en la AEPD la inscripción de creación de tres ficheros, “clientes y proveedores, personal y recursos humanos, y video vigilancia”. A fin de verificar la realidad de lo manifestado por la denunciada en su respuesta al requerimiento informativo que se le hizo, la Inspección de Datos de la AEPD llevó a cabo las comprobaciones oportunas cuyo resultado se incorporó a la Diligencia de fecha 12/01/2015. Se constató por la inspección que, efectivamente, como hizo saber la denunciada en su escrito, la página web www......... se ajusta a las obligaciones que en materia informativa impone el artículo 5 de la LPOD. Se verificó que en el formulario de recogida de datos de la página web, “Contacto”, aparece ahora, al pie del mismo, la leyenda “HE LEIDO Y ACEPTO EL AVISO LEGAL, LA POLÍTICA DE PRIVACIDAD Y LAS CONDICIONES GENERALES”. Igualmente, se comprobó que la información que según el artículo 5, apartados 1 y 2, de la LOPD, se debe ofrecer al titular de los datos, con carácter previo a su recogida, se obtiene desde el enlace que aparece al pie de la página, margen derecho, “Aviso legal, Política de Privacidad y condiciones generales”. En el Aviso legal se informa de quién es el titular del dominio de internet ........, de su NIF, domicilio y número de teléfono. En el apartado Política de Privacidad se incluye una cláusula de “consentimiento informado” que indica que “los usuarios que faciliten datos de carácter personal en este sitio web consienten de forma inequívoca la incorporación de los mismos a un fichero automatizado del que es responsable” la denunciada. Además, en el sub apartado “El derecho de información”, se señala que los datos suministrados pasan a formar parte de un fichero del que es titular la denunciada; de la finalidad del tratamiento; del nombre y domicilio del responsable del fichero; de la posibilidad de ejercitar los derechos ARCO y de la forma de ejercitarlos; y de las consecuencias de no facilitar datos obligatorios. B) Sobre la obligación de inscribir en el Registro General de Protección de Datos (RGPD) la creación del fichero, como exige el artículo 26 de la LOPD, si bien quedó acreditado que en la fecha de la denuncia, efectivamente, el fichero no se encontraba inscrito, la denunciada, una vez recibido el requerimiento informativo de la AEPD, ha solicitado la inscripción de creación de tres ficheros, de los que ella es titular, uno de los cuales, por lo que aquí interesa, es el denominado “Clientes y/o proveedores”. La denunciada ha remitido a la AEPD, como documento adjunto al escrito de respuesta al requerimiento informativo de la Inspección, copia de los documentos oficiales de la AEPD que confirman la recepción en fecha 26/12/2014 de la notificación en este organismos de la solicitud de inscripción de creación de los tres ficheros mencionados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 IV Ha quedado acreditado que la página www........., de la que es titular la denunciada, no ofrecía con carácter previo a la recogida de los datos personales a través del formulario denominado “Contacto” la información a la que se refiere el artículo 5.1 de la LOPD en relación con el artículo 5.2 de la citada norma; conducta que podría ser constitutiva de una infracción leve tipificada en el artículo 44.2.c, de la ley Orgánica 15/1999: “Son infracciones leves:(…) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. Idéntica consideración podría hacerse respecto al hecho de que la denunciada no tuviera ningún fichero inscrito en el RGPD. La omisión del deber de inscripción de la creación de un fichero puede ser constitutiva de una infracción leve tipificada en el artículo 44.2.
  10. b)de la LOPD en los siguientes términos: “No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos”. Ahora bien, hay que añadir que la denunciada no ha sido sancionada o apercibida por la AEPD anteriormente y que concurren en el presente caso varias de las circunstancias que se describen en el artículo 45.5 de la LOPD, precepto que dispone: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  11. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  12. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  13. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  14. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  15. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". Se aprecia en el presente caso la concurrencia de la circunstancia descrita en el apartado
  16. a)del artículo 45.5 de la LOPD en relación con el artículo 45.4, pues se cumplen las siguiente previsiones de este último precepto: d), el escaso volumen de negocio del infractor; e), la ausencia de intencionalidad en la conducta, como lo demuestra que la información que se había omitido en la página web de la que es titular la denunciada fue incorporada a ella nada más conocer la existencia de una posible infracción de la normativa de protección de datos y que solicitó la inscripción de la creación de tres ficheros en el RGPD. Concurre también la circunstancia descrita en el artículo 45.5,
  17. b)de la LOPD, ya que la denunciada regularizó la situación creada con gran diligencia nada más conocer, a través del requerimiento informativo de la AEPD, que podía haber vulnerado las obligaciones sobre el deber de información a los interesados impuestas por el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 5.1 de la LOPD y el artículo 26 de la citada norma. Paralelamente, el artículo 45.6 de la LOPD, introducido por la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  18. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  19. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” (El subrayado es de la AEPD) Trasladando las consideraciones hechas al supuesto que nos ocupa, se observa que las infracciones de la LOPD en las que podría haber incurrido la denunciada son infracciones “leves”; que no ha sido sancionada o apercibida por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, llegados a este punto es obligado referirse a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que advierte sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que “sustituyen” a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento, como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella, y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se expone en los Fundamentos precedentes de esta resolución, la denunciada adoptó con gran diligencia las medidas correctoras necesarias para adecuar su conducta a las exigencias de la LOPD desde que conoció el requerimiento informativo de la AEPD. Incluyó en la página web www........., en los apartados Aviso Legal, Política de Privacidad y Condiciones Generales, la información relativa al titular de la página web, su NIF, el nombre y domicilio del responsable del fichero, la posibilidad de ejercitar los derechos ARCO y forma de ejercitarlos, de la finalidad del tratamiento de los datos recogidos del interesado, y de las consecuencias de no facilitar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 datos obligatorios. Ha quedado acreditado también que en fecha 26/12/2014 se había recibido en la AEPD la solicitud de inscripción en el RGPD de tres ficheros de los que la denunciada es responsable. Así pues, teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa de la denunciada y de forma diligente, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a aquellos supuestos en los que el obligado ha adoptado las medidas oportunas, se acuerda el archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D.ª A.A.A. y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.