E-04900-2014

1/5 Expediente Nº: E/04900/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Vista la resolución acordada por la Directora de la Agencia Española de Protección de Datos con fecha 26 de febrero de 2016 ordenando el inicio de actuaciones frente a Don A.A.A. en el Expediente nº E/04968/2015, el cual se tramitó a fin de constatar el cumplimiento de las medidas correctoras requeridas con motivo de la resolución del A/00107/2015 , y a la vista de los siguientes HECHOS PRIMERO: Con fecha 12 de junio de 2014 se registra de entrada en la Agencia Española de Protección de Datos, en adelante AEPD, denuncia formulada por Don B.B.B. contra Don C.C.C. por recabar datos personales a través de formularios incluidos en la página web www..........com sin ofrecer, a los afectados, información alguna sobre los extremos del tratamiento de datos de carácter personal a los que se refiere el artículo 5 de la la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD. SEGUNDO: Las actuaciones previas de inspección nº E/04900/2014 llevadas a cabo los efectos de constatar los hechos denunciados dieron lugar a la tramitación por parte de la AEPD del procedimiento de apercibimiento de referencia nº A/00107/2015 a Don C.C.C. , en adelante el denunciado, que concluyó con la resolución R/02108/2015 de la Directora de la Agencia Española de Protección de Datos, de fecha 28 de agosto de 2015, por infracción del artículo 5 de la LOPD), tipificada como leve en el artículo 44.2.

1. c)de la citada Ley Orgánica, en virtud de la cual se resolvía : “2.- REQUERIR a Don C.C.C., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 5 de la LOPD. En concreto se insta al denunciado a incluir la información, a través de la Política de Privacidad insertada en su web, de todos los apartados establecidos en el mencionado artículo de la LOPD. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 En dicha resolución, notificada al denunciado en el Boletín Oficial del Estado nº 226 de fecha 21 de septiembre de 2015, se advertía que para comprobar el cumplimiento de las medidas correctoras se abría el expediente de investigación E/04968/2015. TERCERO: Durante las actuaciones de investigación E/04968/2015 se accede al sitio web www..........com comprobándose lo siguiente: Con fecha 21 de octubre de 2015 se constata que en el Aviso Legal incluido junto al formulario de contacto contenido en el mencionado sitio web, que recaba el nombre y apellidos y correo electrónico del usuario, aparecían los datos de Don A.A.A., en adelante GMS, quien con fecha 22 de febrero de 2016 continuaba apareciendo en la “Información Legal” del sitio web como propietario de la mencionada página web. Con fecha 15 de enero de 2016 se verifica que registrado a nombre de Don GMS. el dominio .........com figura Proceweb también contiene un formulario de reserva de los servicios de despedida ofrecidos en la misma en el que se recaba el correo electrónico y teléfono móvil de contacto del usuario. En ambas comprobaciones se observa que continúa sin ofrecerse la información a la que se refiere el artículo 5.1 y 2 de la LOPD a los interesados a los que se solicitan sus datos personales a través de dichos formularios.. CUARTO: Con fecha 26 de febrero de 2016 la Directora de la Agencia Española de Protección de Datos acuerda: “1. PROCEDER AL ARCHIVO de las actuaciones de investigación practicadas en el expediente de referencia E/04968/2015. 2. ORDENAR el inicio de las actuaciones frente a Don A.A.A..” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Persona. II El artículo 5 de la LOPD dispone, en sus apartados 1 y 2, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (…) 2. Cuando se utilicen cuestionarios y otros impresos para la recogida , figurarán en los mismos, en forma claramente legible , las advertencias a que se refiere el apartado anterior.” El incumplimiento del deber de información que contiene el precepto transcrito se encuentra tipificado como falta leve en el artículo 44.2.
8. d)de la Ley Orgánica 15/1999: "El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado". III De conformidad con lo dispuesto en el artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RLOPD, las actuaciones previas “tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en el Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” En el presente supuesto, en el que la denuncia tuvo entrada con fecha 12 de junio de 2014, las actuaciones de investigación a seguir frente al actual responsable del sitio web, Don GMS, se encuentran caducadas al haberse superado el plazo de 12 meses previsto en el mencionado artículo 122.4 del RLOPD, motivo por el que procede declarar la caducidad de las mismas. IV Por otro lado, el artículo 92.3 de la Ley de Régimen Jurídico y de las Administraciones Públicas y del Procedimiento Administrativo Común establece que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Al respecto, la Audiencia Nacional viene estableciendo (por ejemplo, en su Sentencia de 21/10/2014 ) que: “El artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, "no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción". Por consiguiente, declarada la caducidad de unas actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, no se encuentra imposibilitada la Administración actuante para iniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. Atendido que estamos ante una presunta infracción leve al artículo 5 de la LOPD que prescribe al año de su comisión de conformidad con el artículo 47.1 de la citada norma, en el caso analizado dicho cómputo se iniciaría a partir del día 23 de febrero de 2016, fecha en que se realizó el último acceso al sitio web www..........com y se constató que continuaban recabándose datos de carácter personal a través de dos formularios sin darse cumplimiento al deber de información establecido en los apartados 1 y 2 de dicho precepto. En consecuencia, al no haber prescrito la supuesta infracción objeto de denuncia, no existe impedimento alguno para ordenar la apertura nuevas actuaciones de investigación bajo la referencia del expediente E/04187/2016, a los efectos de que desde la Subdirección General de Inspección de Datos se realicen las comprobaciones necesarias en lo que respecta a la adecuación a la normativa de protección de datos del tratamiento efectuado por el actual responsable del fichero resultante de la recogida de los mencionados datos en la forma descrita con anterioridad, debiendo también identificarse a los presuntos responsables de las posibles infracciones que puedan detectarse. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: ARCHIVAR por caducidad las actuaciones de investigación frente a Don A.A.A.. SEGUNDO: ORDENAR el inicio del expediente de investigación E/04187/2016 al objeto de determinar si el tratamiento de los datos de carácter personal recabados a través de la página web www..........com se adecúa a la normativa de protección e identificar a los presuntos responsables de las infracciones a la LOPD supuestamente cometidas por éstos. TERCERO: NOTIFICAR la presente Resolución a D. A.A.A.y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es