E-06799-2016

1/4 Expediente Nº: E/06799/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades Genesis Industries Limited, Nomaco Spain SL y Toy Quest Limited y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó la realización de actuaciones previas de investigación a Genesis Industries Limited, Nomaco Spain SL y Toy Quest Limited para esclarecer los hechos que se venían difundiendo en los medios de comunicación, en relación a la comercialización de productos orientados al mercado infantil conectados a Internet que potencialmente recogen datos personales de menores, como audio e imagen, haciéndose eco de la preocupación señalada por organizaciones de consumidores a nivel nacional y europeo. Las mencionadas actuaciones fueron iniciadas por la Subdirección General de Inspección de Datos en el marco del expediente E/06799/2016, y se centraron en el producto comercial La Muñeca Cayla (My Friend Cayla). SEGUNDO: Las actuaciones de inspección se han centrado en el fabricante Toy Quest Limited/ Genesis Industries Limited, empresa China inscrita en Hong Kong, y en la empresa que comercializa el producto en España, Nomaco Spain SL, sin que se haya obtenido respuesta a la información solicitada. Se han recopilado todas las políticas de privacidad del fabricante y condiciones y términos de uso del producto encontradas en los distintos canales (web de la empresa, instrucciones del producto, instrucciones de la aplicación móvil). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 II El artículo 122.2 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone, en relación con las actuaciones previas, que “se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. De conformidad con el párrafo 4 del referido artículo 122, estas actuaciones previas tendrán una duración máxima de doce meses “a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el párrafo segundo hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas E/06799/2016 se inició el día 16/12/2016 y finalizó el día 15/12/2017, por lo que éstas deben declararse caducadas. Ahora bien ha de tenerse en cuenta la especial complejidad de las presentes actuaciones que requieren la realización de una investigación técnica en profundidad del software de la aplicación móvil investigada, que permita esclarecer el tipo de datos que recaba, dónde los envía, qué obtiene como respuesta, así como el procesamiento y tratamiento que se haga de los mismos, tanto en el terminal móvil, como en las entidades receptoras de la información, lo que ha dificultado su conclusión antes del plazo de caducidad. Todo ello de conformidad con la interpretación que al respecto ha realizado la Audiencia Nacional en su Sentencia de 19 de julio de 2013, en la que establece que “el hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión”. Esto es, que las actuaciones previas de investigación deben entenderse caducadas si transcurridos doce meses desde el día inicial del cómputo no se ha procedido a dictar y notificar acuerdo de inicio de procedimiento sancionador. III Por su parte el artículo

1. 3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, determina que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
2. PROCEDER AL ARCHIVO de las presentes actuaciones.
3. ABRIR nuevas actuaciones de investigación.
4. NOTIFICAR la presente Resolución a Genesis Industries Limited, Nomaco Spain SL y Toy Quest Limited. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es