E-05948-2020

1/5  Procedimiento Nº: E/05948/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN (en adelante, el reclamante) tiene entrada con fecha 25 de mayo de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. (TIENDAPATRIA.ES), con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basan la reclamación los representantes de FACUA son que han comprobado que en la página web ***URL.1 resulta imposible identificar a la entidad titular de la misma, dado que no se indica el nombre de la mercantil, ni domicilio social alguno y tampoco se informa sobre los datos correspondientes a la inscripción en el registro mercantil de esta entidad. Igualmente, nada se menciona en relación a los datos personales que pudieran obtener de los usuarios que adquiriesen algún producto de los anunciados en esta plataforma web, ni cuáles serán los fines que darán a estos datos ni cómo ejercer sus derechos sobre el tratamiento de los mismos, ni si existe algún responsable designado para esta clase de menesteres. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Tras requerir al responsable de la gestión de la web ***URL.1 información relativa a: • Razón social, domicilio social y número de CIF de la entidad responsable de la web ***URL.1 • Lugar de la web o del contrato de compra en que se informa a los clientes y usuarios de la web de los términos indicados en el artículo 13 del RGPD, concretamente: 1. la identidad y los datos de contacto del responsable y, en su caso, de su representante; 2. los datos de contacto del delegado de protección de datos, en su caso; 3. los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4. los intereses legítimos del responsable o de un tercero, en su caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 5. los destinatarios o las categorías de destinatarios de los datos personales, en su caso; 6. en su caso, la intención de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión 7. el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; 8. la existencia del derecho a solicitar el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; 9. la existencia del derecho a retirar el consentimiento en cualquier momento 10. el derecho a presentar una reclamación ante la Agencia Española de Protección de Datos 11. si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; 12. la existencia de decisiones automatizas, incluida la elaboración de perfiles, información sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. Se ha obtenido como respuesta que “Hemos interrumpido el acceso público a la web mientras esté proceso sigue activo, para asegurar que estamos cumpliendo con la legislación vigente. Usted puede acceder a la web utilizando la dirección ***URL.1, siguiendo el enlace "entrar utilizando contraseña" y la contraseña "inspeccion". Una vez allí, puede encontrar nuestra política de privacidad en el menú -> política de privacidad donde está la información requerida” Tras acceder a la citada política de privacidad se observa que no se informa sobre los siguientes aspectos: • el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; • el derecho a presentar una reclamación ante la Agencia Española de Protección de Datos En relación a informar sobre la existencia del derecho a solicitar el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos, la política de seguridad indica “ Si quieres: acceder, corregir, enmendar o borrar cualquier información personal que poseamos sobre ti, registrar una queja, o simplemente quieres más información contacta a nuestro Oficial de Cumplimiento de Privacidad en ***EMAIL.1 “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 TERCERO: Con fecha 23 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante por una presunta vulneración del artículo 13 del RGPD ya que en la política de privacidad del reclamado no se indica quien es el responsable del tratamiento de los datos personales que se recogen a través de los formularios de dicha entidad, pese a que en dicho precepto se establece lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al inteC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 resado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” IV Se ha constatado que cuando el responsable tuvo conocimiento de que su política de protección de datos pudiera ser incompleta, cesó en la posibilidad de que el público accediese a su página web y de recoger sus datos para adecuarla a la normativa. Se ha verificado que en este momento la cláusula informativa cumple lo establecido en el artículo 13 RGPD, indicado en el fundamento III. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente resolución al reclamante y reclamado De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es