← España

E-06548-2017

1/5 Expediente Nº: E/06548/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad LABORATORIO CELL'INNOV, en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 01/10/2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia que la página web ***WEB.1 recoge datos personales en su formulario de pedido sin que la política de privacidad detalle el fichero en el que serán almacenados, el uso que se les dará ni ante quién pueden ejercerse los derechos ARCO. También indica que los datos se almacenarán en ficheros en USA. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: . Con fecha 27/02/2018, por los Servicios de Inspección de la Agencia se contactó con Laboratorio Cell’innov, en el número ***TELF.1, que manifestó no disponer de oficina ni sede alguna en España, siendo su única dirección (C/...1), Francia. . Los correos electrónicos de contacto son contact@***WEB.1 y atencioncliente@***WEB.1 . En la dirección https://***WEB.1/condiciones-generales-de-venta figura, en el artículo 16, la siguiente información relativa al tratamiento de datos personales: “Usted tiene derecho de acceso, rectificación, cancelación y oposición de sus datos personales. Sus datos se almacenan y procesan en servidores localizados en Estados Unidos y dependen de las políticas y procedimientos de la empresa de seguridad informática Publishing Services LLC, nuestro proveedor. Los Estados Unidos no disponen actualmente de una ley uniforme sobre la protección de datos, pero Publishing Services LLC ha implementado una serie de políticas y procedimientos en materia de tecnología y seguridad, asegurando niveles de protección de datos equivalentes a los de las directivas europeas y las leyes de Francia y Suiza. Desde el laboratorio Cell’innov le solicitamos diversa información cuando visita nuestra web, particularmente en el momento de hacer el pedido. Los datos que aparecen señalados por un asterisco son de carácter obligatorio; son necesarios para procesar su pedido. El resto de información está destinada a conocerle mejor y es, por tanto, optativa; es totalmente libre de no responder. Toda la información personal que usted cede será utilizada por el laboratorio Cell’innov para tramitar sus pedidos y para conformar estadísticas que nos permitan adaptar mejor nuestras ofertas a sus necesidades. Desde el laboratorio Cell’innov enviamos información y ofertas comerciales por correo electrónico a los clientes que han aceptado las condiciones generales de venta y que no se han opuesto expresamente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 ello en el momento de la recogida de datos. A raíz de esta cesión de datos, podría comenzar a recibir también otras propuestas de compañías, organizaciones o webs asociadas a Cell’innov e identificadas como tal. Si usted no desea recibir este tipo de e-mails informativos puede contactar con nosotros en cualquier momento y pedirnos que dejemos de enviárselos. Puede hacerlo por vía postal o a través del propio correo electrónico, escribiendo a la dirección que le ofrecemos más abajo. Indíquenos su nombre, apellidos, dirección, e-mail y, si es posible, también su referencia de cliente. Por correo postal: Laboratorio Cell’innov - Atención al cliente, (C/...1), Francia. Por correo electrónico: atencioncliente@***WEB.1” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 2.1 de la LOPD, Ámbito de aplicación, establece: 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  2. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  3. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  4. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Por su parte, el artículo 3. 1.
  5. a)del Reglamento de la LOPD, dispone lo siguiente: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
  6. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento”. IV El Grupo de Protección de Datos del artículo 29, en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III, señala lo siguiente: <<…Análisis de las disposiciones: La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición (disposiciones) nacional(
  7. es)de protección de datos aprobada(
  8. s)para la aplicación de la Directiva puede(
  9. n)aplicarse al tratamiento de datos personales. III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra
  10. a)(…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países. a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> Asimismo en la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015, en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. (…) 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>>. V En el supuesto aquí analizado, se denuncia que la página web ***WEB.1 dispone de formularios de recogida de datos personales para realizar pedidos de los productos que comercializa, sin ofrecer a los usuarios/clientes la preceptiva información en materia de protección de datos. Es preciso analizar, en primer término, la aplicabilidad de la normativa española de protección de datos y si, en consecuencia, la Agencia Española de Protección de Datos es competente para tutelar el derecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 A este respecto, cabe señalar que la entidad Laboratorio Cell’innov, responsable de dicha web, tiene su sede en París, Francia, país desde el que opera. Asimismo, consta que la misma ofrece sus productos en España a través de la página web reseñada, pero no dispone de establecimiento en este país. Consecuentemente, atendiendo al criterio jurídico expuesto, el tratamiento de datos objeto de las actuaciones se encontraría sometido a la legislación de Francia, y la Agencia Española de Protección de Datos no sería competente para sancionar a Laboratorio Cell’innov, por lo que procede el archivo de las presentes actuaciones. No obstante se dará traslado a la Commission Nationale de l´Informatique et des Libertés (CNIL) de los hechos denunciados para que, en su caso, adopte las medidas que pueda realizar en el ámbito de sus competencias. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a LABORATORIO CELL'INNOV y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.