1/5 Expediente Nº: E/03061/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad OFFEMILY, S.L. en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de abril de 2017, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) contra OFFEMILY, S.L. (en lo sucesivo el denunciado) manifestando que La denunciada es una empresa de venta de ropa infantil a la que ha enviado correos electrónicos de reclamación sin que haya obtenido respuesta. Después de enviar las reclamaciones, ha comenzado a recibir en su cuenta de correo ***EMAIL.2 reclamaciones de otros clientes. Al parecer en la página web de contacto del sitio web de la denunciada aparecen su nombre y dirección de correo electrónico. Tanto ella misma como la organización de consumidores OCU han tratado de contactar con la denunciada para que se corrija la situación sin éxito. Que según el denunciante tuvieron lugar a fecha de: 27/04/2017 Y, entre otra, anexa copia de la siguiente documentación: Dos correos electrónicos recibidos en su cuenta. Impresión del formulario en el que se muestran sus datos Mensajes enviados a ***EMAIL.1 y a “ G.G.G.” solicitando la retirada de sus datos personales del formulario de contacto. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En la diligencia de 03/05/2017 figura una copia de la política de privacidad del sitio web ***URL.1 en la que OFFEMILY, S.L. se declara responsable del fichero en el que se incluirán los datos proporcionados a través del sitio web. 2. En la diligencia de 18/08/2017 se incluye la información del fichero denominado “CLIENTES Y USUARIOS” con código ***COD.1, en el que OFFEMILY, S.L. figura como responsable. La inscripción tiene fecha de última modificación 15/09/2012 e indica como domicilio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 de notificación la calle ***DIRECCION.1 Barcelona, que es el domicilio social de la entidad. La dirección calle ***DIRECCION.1 Barcelona corresponde al centro de negocios “Almogàver Business Factory”. En conversación mantenida el 02/10/2017 con el citado centro de negocios, se informa a esta Agencia que OFFEMILY, S.L. hace años que no tiene su sede allí. 3. El escrito de denuncia aporta una impresión de pantalla de un formulario web ubicado en la URL ***URL.1 /contacts. El formulario muestra en el campo nombre el texto “ A.A.A.” y en el campo correo electrónico la dirección ***EMAIL.2. La pantalla muestra como dirección de contacto la ***DIRECCION.2 Barcelona y como dirección de correo electrónico ***EMAIL.1. La captura de pantalla no muestra la fecha en la que se realizó, ni se indica en el escrito. 4. Tal y como consta en diligencia de 03/05/2017, realiza una búsqueda a través del buscador Google, la dirección de correo electrónico ***EMAIL.2 no aparece publicada en Internet. 5. Con fecha 03/05/2017, tal y como se acredita en su correspondiente diligencia, se comprueba que al acceder al formulario ***URL.1 /contacts, introducir unos datos de prueba y enviar un mensaje, el formulario web se recarga mostrando en la parte superior el texto “Su consulta se ha enviado y se responderá con la mayor brevedad. Gracias por contactar con nosotros.” En los campo del formulario se muestran tras la recarga en el nombre, el texto “ E.E.E.” y en el campo correo D.D.D., probablemente datos una reclamación anterior. 6. Según consta en diligencias de 18/08/2017 y 02/10/2017, al tratar de acceder al sitio web ***URL.1 los días 18/08/2017, 14/09/2017 y 02/10/2017 el sitio web ***URL.1 no era accesible. 7. El 18/08/2017 se accede a la copia de la página web ***URL.1 /contacts almacenada por el servicio ***URL.2 y se comprueba que en la última copia que se conserva de la página, fechada el 06/06/2017, figura los datos de otra persona, C.C.C., con dirección de correo B.B.B.. 8. El 18/08/2017 se remite requerimiento de información a OFFEMILY, S.L. a la dirección facilitada por la denunciante, ***DIRECCION.2 (Barcelona), que resulta devuelta tras dejar el servicio de Correos aviso para su recogida. Ese mismo día se envía un correo electrónico a la dirección ***EMAIL.1 informando del envío del requerimiento y ofreciendo la posibilidad de adelantar copia del mismo a la dirección que se le indique. 9. El 14/09/2018 se envía un nuevo correo electrónico a la dirección ***EMAIL.1 informando de la devolución del requerimiento escrito y adjuntando copia electrónica del mismo. En el correo electrónico se solicitaba una nueva dirección postal. A fecha del presente informe ninguno de los correos electrónicos ha sido contestado. 10. De acuerdo con la información obrante en fecha 13/10/2017 en el periódico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 cronicaglobal.elespanol.es el denunciado presentó concurso de acreedores. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En el presente caso se denuncia una posible vulneración del deber de secreto por parte de la entidad denunciada, por haber facilitado en su página web el nombre, primer apellido y dirección de correo electrónico de la denunciante. Este deber de secreto se encuentra regulado en el artículo 10 de la LOPD, en el que se establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El deber de secreto que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, motiva que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena, fuera de los casos autorizados por la Ley. Dicho deber se contempla como una obligación que subsistirá aún después de finalizar las relaciones con el responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 En este caso, se denuncia que el denunciado ha incumplido el deber de secreto por cuanto el escrito de denuncia de 27/04/2018, aporta una impresión de pantalla de un formulario web ubicado en la URL ***URL.1 /contacts. El formulario muestra en el campo nombre el texto “ A.A.A.” y en el campo correo electrónico la dirección ***EMAIL.2. Sin embargo, la captura de pantalla no muestra la fecha en la que se realizó, ni se indica en el escrito. No obstante, con fecha 03/05/2017, tal y como se acredita en su correspondiente diligencia, se comprueba que al acceder al formulario ***URL.1 /contacts, introducir unos datos de prueba y enviar un mensaje, el formulario web se recarga mostrando en la parte superior el texto “Su consulta se ha enviado y se responderá con la mayor brevedad. Gracias por contactar con nosotros.” En los campo del formulario ya no se muestran los datos personales de la denunciante. Según consta en diligencias de 18/08/2017 y 02/10/2017, al tratar de acceder al sitio web ***URL.1 los días 18/08/2017, 14/09/2017 y 02/10/2017 el sitio web ***URL.1 no era accesible. En el presente caso ha quedado acreditado en el expediente, que el denunciado ha revelado datos personales de la denunciante en su web. Dicha actuación constituye una infracción grave tipificada en el artículo 44.3.
- d)de la LOPD como: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” IV En el presente caso, debe señalarse que, si bien estamos ante una infracción del art. 10 de la LOPD, resulta destacable que desde el 3/05/2017 la web del denunciado no revela datos personales de la denunciante y que la citada página web no es accesible desde agosto de 2017, por lo que no procede instar medida alguna. En atención a las circunstancias del presente procedimiento se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto, a propósito de la naturaleza jurídica del apercibimiento regulado en el artículo 45.6 de la LOPD, advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 En el presente caso y teniendo en cuenta las circunstancias del mismo, este organismo está facultado para, en lugar de iniciar la apertura de un procedimiento sancionador, apercibir al denunciado a fin de que adopte las oportunas medidas correctoras. Sin embargo, en base a los principios de intervención mínima y proporcionalidad que informan la capacidad de actuación de esta Agencia y teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordarse el Archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a OFFEMILY, S.L. y Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es