E-04598-2021

1/7  Expediente N.º: E/04598/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN (en adelante, la parte reclamante), con fecha 16 de febrero de 2021, interpuso denuncia ante la Agencia Española de Protección de Datos. La reclamación se dirige contra 5D WHITE con NIF (en adelante, la parte denunciada). Los motivos en que basa la reclamación son los siguientes: En el sitio web https://5d-white.com/ no se estaría proporcionando información relativa al tratamiento de datos personales conforme a los requisitos exigidos por la legislación vigente. Junto a la notificación se aporta: Certificación web de eGarante en relación a la url https://5d-white.com/pages/ contactenos de fecha 16/02/2021 con url de descarga digital https://intranet.egarante.com/descarga-archivo/egweb/4079f124049aa8fc74a4d1b4f310c555_signed.pdf donde consta: Un formulario con los campos de nombre, correo electrónico y mensaje. No consta ninguna casilla de consentimiento. Certificación web de eGarante en relación a la url https://5d-white.com/pages/ condiciones-generales-de-venta de fecha 16/02/2021 con url de descarga digital https://intranet.egarante.com/descarga-archivo/egweb/454fba0a39c8e1ecOb23a7c54685e4d6_signed.pdf donde consta: Una página sin contenido. Certificación web de eGarante en relación a la url https://5d-white.com/ de fecha 16/02/2021 con url de descarga digital https://intranet.egarante.com/descarga-archivo/egweb/98378019e7cad49effac832cfebb3744_signed.pdf donde consta: Una página web donde consta “5D WHITE” y donde consta asimismo a pie de página un enlace para “Política de privacidad”. SEGUNDO: Con fecha 21 de abril de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Con fecha 22/03/2021 se comprueba que el enlace https://5d-white.com/pages/politica-de-privacidad no contiene información. - Con fecha 22/03/2021 se comprueba que el enlace https://5d-white.com/ 53038973100/policies/privacy-policy.html?locale=es consta exclusivamente la siguiente información: “Política de privacidad We are using a text messaging platform, which is subject to the following terms and conditions. By opting-in for our text marketing and notifications in, you agree to these terms and conditions. By entering your phone number in the checkout and initializing a purchase, subscribing via our subscription form or a keyword, you agree that we may send you text notifica tions (for your order, including abandoned cart reminders) and text marketing offers. You acknowledge that consent is not a condition for any purchase. Your phone number, name and purchase information Will be shared with Our SMS platform “SMSBump Inc, an European Union company with office at Sofia, Bulgaria, EU. This data will be used for sending you targeted marketing messages and notifications. Upon sending the text messages, your phone number will be passed to a text messages operator to 1ulfil their delivery. Ifyou wish to unsubscribe from receiving text marketing messages and notifications reply with STOP to any mobile message sent from us or use the unsubscribe link we provided you with in any of our messages. You understand and agree that alternative methods of opting out, such as using alternative words or requests will not be accounted as a reasonable means of opting out. Message and data rates may apply. For any questions please text “HELP” to the number you received the messages from. You can also contact us for more information. If you wish to opt out please follow the proeedures above.” Traducción no oficial al castellano: “Usamos una plataforma de mensajería de texto, que está sujeta a los siguientes términos y condiciones. Al optar por nuestro marketing de texto y notificaciones, usted acepta estos términos y condiciones. Al introducir su número de teléfono en el pago e inicializar una compra, al suscribirse a través de nuestro formulario de suscripción o a través de una palabra clave, usted acepta que podemos enviarle notificaciones de texto (para su pedido, incluyendo recordatorios de carrito abandonado) y ofertas de marketing en texto. Usted reconoce que el consentimiento no es una condición para ninguna compra. Su número de teléfono, nombre e información de compra se compartirá con nuestra plataforma SMS "SMSBump Inc”, una empresa de la Unión Europea con oficina en Sofía, Bulgaria, UE. Estos datos se utilizarán para enviarle mensajes de marketing específicos y notificaciones. Al enviar los mensajes de texto, su número de teléfono será pasado a un operador de mensajes de texto para cumplir con su entrega. Si desea darse de baja de recibir mensajes de texto de marketing y notificaciones responder con STOP a cualquier mensaje móvil enviado por nosotros o utilice el enlace de cancelación de suscripción que le proporcionamos en cualquiera de nuestros menC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 sajes. Usted entiende y acepta que los métodos alternativos de exclusión, como el uso de palabras o solicitudes alternativas, no se tendrán en cuenta como un medio razonable de exclusión. Pueden aplicarse tarifas de mensajes y datos. Para cualquier pregunta, por favor escriba «HELP» al número desde el que recibió los mensajes. También puede ponerse en contacto con nosotros para obtener más información. Si desea optar por no participar, por favor, siga los procedimientos anteriores.” - Con fecha 03/02/2022 se comprueba que la url https://5d-white.com devuelve un resultado donde consta “This domain has expired. If you owned this domain, contact your domain registration service provider for further assistance. If you need help identifying your provider, visit https://www.tucowsdomains.com/” - Con fecha 04/02/2022 se envía requerimiento de información a SHOPIFY INTERNATIONAL LTD. La notificación consta entregada con fecha 15/02/2022. A fecha del presente informe no se ha recibido contestación. - Con fecha 01/03/2022 se recibe correo electrónico con origen legal@shopify.com y destino dpd@aepd.es donde se indica el procedimiento a seguir para realizar peticiones legales a Shopify a través de un portal web. - Con fecha 08/03/2022 SHOPIFY INTERNATIONAL LTD. remite a esta Agencia la siguiente información y manifestaciones a través del portal especificado, de su traducción no oficial del inglés: 1. Que el comerciante correspondiente a la web 5d-white.com esta registrado en Francia. 2. Que esto supone que está fuera de nuestra jurisdicción correspondiente a España y por eso necesitan una orden de la jurisdicción francesa o bien orden judicial con jurisdicción sobre SHOPIFY INC. para proporcionar la información. - Con fecha 15/03/2022 TUCOWS INC. remite a esta Agencia la información sobre el titular del dominio 5d-white.com. - Con fecha 21/03/2022 se remite requerimiento de información a 5D-WHITE por correo postal internacional. A fecha del presente informe la notificación no consta contestación. CONCLUSIONES: 1. La web inicialmente no contenía ninguna Política de Privacidad, pero, posteriormente a fecha de febrero 2022, la web estaba ya sin servicio. 2. SHOPIFY (Irlanda) no proporciona información del responsable, pero sí informa de que su ubicación es en Francia. Posteriormente TUCOWS proporciona una dirección postal del responsable en Francia a la cual se envía notificación, pero pasados 10 días no se tiene contestación ni evidencia de que haya llegado la misma. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado y competencia El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El artículo 56 del RGPD, referido a la competencia de la autoridad principal, señala lo siguiente: “1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. 2. No obstante lo dispuesto en el apartado 1, cada autoridad de control será competente para tratar una reclamación que le sea presentada o una posible infracción del presente Reglamento, en caso de que se refiera únicamente a un establecimiento situado en su Estado miembro o únicamente afecte de manera sustancial a interesados en su Estado miembro. 3. En los casos a que se refiere el apartado 2 del presente artículo, la autoridad de control informará sin dilación al respecto a la autoridad de control principal. En el plazo de tres semanas después de haber sido informada, la autoridad de control principal decidirá si tratará o no el caso de conformidad con el procedimiento establecido en el artículo 60, teniendo presente si existe un establecimiento del responsable o encargado del tratamiento en el Estado miembro de la autoridad de control que le haya informado. 4. En caso de que la autoridad de control principal decida tratar el caso, se aplicará el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 procedimiento establecido en el artículo 60. La autoridad de control que haya informado a la autoridad de control principal podrá presentarle un proyecto de decisión. La autoridad de control principal tendrá en cuenta en la mayor medida posible dicho proyecto al preparar el proyecto de decisión a que se refiere el artículo 60, apartado 3. 5. En caso de que la autoridad de control principal decida no tratar el caso, la autoridad de control que le haya informado lo tratará con arreglo a los artículos 61 y 62. 6. La autoridad de control principal será el único interlocutor del responsable o del encargado en relación con el tratamiento transfronterizo realizado por dicho responsable o encargado.” III Conclusión Si bien en el momento de recibir la denuncia la entidad denunciada no facilitaba información, conforme establece el artículo 13 del RGPD, al recabar datos personales, posteriormente dejo de estar en servicio la página web denunciada. A ello ha de añadirse que el presunto responsable de la infracción tiene sede en Francia, por lo que es la autoridad de control en materia de protección de datos de ese país la que debería iniciar actuaciones sancionadoras, en su caso. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN y 5D WHITE. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, seC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 gún lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es