E-06869-2020

1/5  Procedimiento Nº: E/06869/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 25/02/20, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “el reclamante”), en los que indicaba, entre otras, lo siguiente: “La web ***URL.1 no tiene ningún tipo de identificación del propietario y recaba datos con objeto de llevar a cabo compras. no hay referencia ninguna a donde ejercitar los derechos para con los datos personales y hay sospechas fundadas del trasvase de información personal de los clientes a un tercero sin consentimiento expreso del cliente. se desconocen las medidas de seguridad con que se tratan los datos”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 01/04/20, se dirige requerimiento informativo a D. B.B.B., titular de la página web reclamada. TERCERO: Con fecha 17/07/20, tiene entrada en esta Agencia escrito de contestación de la persona reclamada en la que, entre otras, indica: “La página web disponía a fecha de reclamación de política de privacidad incompleta, y con fecha 3 de Julio de 2020 se ha procedido a modificarla incluyendo la identificación del responsable de tratamiento de los datos, el plazo de conservación de los datos, así como la posibilidad de ejercer los derechos de los usuarios. Habida cuenta de que la organización, para la correcta prestación de los servicios envía los datos de contacto a una compañía situada en China, y para dar cumplimiento al artículo 49 del RGPD que establece que se podrán producir transferencias internacionales de datos personales a un tercer país u organización internacional si se cumple con la condición de que el interesado haya dado explícitamente su consentimiento a la transferencia propuesta; se ha procedido como medida correctora con fecha 3 de Julio de 2020 a concretar en la política de privacidad que la compañía Shenzhen Jakes Electronic Technology Co.,ltd, situado en 8th Floor No.38,3 South Zone, Minzhi Road,Minzhi, Longhua new district, Shenzhen, China 518000, gestiona los pedidos de la empresa, supeditando la tramitación de los mismos a la aceptación expresa de la política de privacidad en el formulario de compra de la citada página web. Adjunto captura de pantalla del formulario de compra de pedidos de la página web donde el usuario tiene que aceptar la política de privacidad y los términos y condiciones de compra para poder tramitar los pedidos. La empresa ha tenido en cuenta las medidas de seguridad cumpliendo con el enfoque proactivo en la seguridad del tratamiento de los datos estableciendo las siguientes meC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 didas técnicas y organizativas concretas que se recogen en el manual de protección de datos que se adjunta: - Se tienen en cuenta los trabajadores que tienen acceso a datos, estableciendo controles de acceso, determinando y registrando las actividades de tratamiento que realizada cada uno, estableciendo un mecanismo de formación a trabajadores en materia de protección de datos y un mecanismo de compromiso de confidencialidad que los trabajadores con acceso a datos se comprometen a adoptar con su firma. o - Se han tenido en cuenta el control de la firma de los compromisos de confidencialidad con los encargados del tratamiento. o - Se establece un control de los soportes empleados para el almacenamiento y el tratamiento de los datos, estableciendo un control de soportes, así como, las actividades de tratamiento vinculadas a cada uno, las medidas de seguridad de acceso, copiado, borrado, cifrado, y un sistema de control de entradas y salidas. -Se tiene en cuenta la existencia de accesos remotos y servidores externos, analizando las características de seguridad ofrecidos por los mismos y asegurando una protección eficaz. Existen restricciones de acceso a los datos personales, porque los dispositivos electrónicos se encuentran ubicados en un despacho/armario cerrado bajo llave. o El equipo electrónico cuenta con contraseñas para su desactivación y posterior acceso al equipo. Igualmente, los equipos cuentan con elementos de protección como antivirus, cortafuegos y antispam. Se realizan copias de seguridad mensualmente y se sigue un procedimiento de borrado de datos que ya no son objeto de tratamiento. Existe un protocolo para realizarlas transferencias internacionales de datos de manera segura Para cada actividad de tratamiento y con carácter previo al mismo, cumpliendo con la protección desde el diseño y por defecto, la organización analiza todos los aspectos implicados en la seguridad del tratamiento: los riesgos para las libertades y los derechos de las personas en función a la naturaleza de los datos que se van a solicitar, la finalidad para la que se solicitan, el origen, el tipo de tratamiento, los destinatarios, la posibilidad de realizar transferencias internacionales de los datos, la posibilidad de realizar estudios de perfiles y la cantidad de datos que se esperan tratar. Se han definido la naturaleza y los tipos de tratamiento que se realiza, sus características, finalidades, modos de tratamiento, posibles destinatarios y control del personal con acceso a los datos. La empresa lleva a cabo un análisis de riesgos de su empresa, y del análisis de riesgos efectuado se determina si para cada actividad de tratamiento llevada a cabo por la organización, así como, cualquier cambio o nueva actividad que se vaya a realizar, se presentan riesgos para los derechos y libertades fundamentales de las personas. Los resultados del análisis de riesgos se recogen en el INFORME DE ANÁLISIS DE RIESGOS correspondiente, documento que evidencia tanto los aspectos analizados como los resultados obtenidos, incluyendo el análisis del riesgo de la incidencia de las transferencias internacionales de datos a países que no ofrezcan garantías suficientes en materia de protección de datos. Se adjunta documento acreditativo del análisis. La empresa en todos los años de funcionamiento sólo ha tenido esta reclamación en materia de protección de datos. No ha habido por tanto intencionalidad manifiesta por parte de la empresa ante la falta de facilitar la información al interesado. La empresa en todos los años de funcionamiento sólo ha tenido esta reclamación en materia de protección de datos. No ha habido por tanto intencionalidad manifiesta por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 parte de la empresa ante la falta de facilitar la información al interesado. En base a lo anterior considero que no ha habido ningún tipo de daño, ni perjuicio, ni vulneración de los derechos fundamentales del interesado”. CUARTO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 02/09/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. QUINTO: Por parte de esta Agencia, al amparo de los poderes de investigación otorgados por el RGPD, se ha podido comprobar, con fecha 04/04/21, en la página web en cuestión, los siguientes aspectos, respecto de su “Política de Privacidad”: - Respecto de la posibilidad de obtener datos personales de los usuarios: En el formulario que se despliega cuando se desea realizar un pedido se recogen los datos de nombre, apellidos, dirección, teléfono. No obstante, antes de poder desplegar el formulario de compra, se debe aceptar la política de privacidad de la web y los términos y condiciones de la compra. “_ He leído y acepto la POLÍTICA DE PRIVACIDAD y los TÉRMINOS Y CONDICIONES DE COMPRA << Leer aquí>>”. En el formulario de compra, existen dos checkbox para aceptar que: “_Quiero recibir noticias y ofertas exclusivas” y otro para, “_Guardar mi información y consultar más rápidamente la próxima vez”. - Respecto de la información existente en la “Política de Privacidad”: A través del enlace existente en el formulario de pedido, <<leer aquí>>, o a través del enlace existente en la parte inferior de la página principal, <<Política de Privacidad>>, la web redirige a una nueva página, donde se proporciona información sobre: el Responsable del tratamiento de datos; los datos recabados, finalidad y licitud; las operaciones que se realizan con los datos personales; la conservación de los datos; sobre la protección de los menores; sobre los destinatarios de los datos personales; sobre el Delegado de Protección de datos; sobre el Ejercicio de los derechos y la posibilidad de dirigirse a la AEPD y sobre las transferencias internacionales de datos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 II Según el reclamante, la web ***URL.1, no tiene ningún tipo de identificación del propietario y recaba datos con objeto de llevar a cabo compras, no hay referencia ninguna a donde ejercitar los derechos para con los datos personales y hay sospechas fundadas del trasvase de información personal de los clientes a un tercero sin consentimiento expreso del cliente. Se desconocen las medidas de seguridad con que se tratan los datos. Consultada la “política de privacidad” de la página reclamada, se ha podido comprobar que, la misma, proporciona información sobre quien es el Responsable del tratamiento de datos; sobre los datos recabados, finalidad y licitud; sobre las operaciones que se realizan con los datos personales; sobre la conservación de los datos; sobre la protección de los menores; sobre los destinatarios de los datos personales; sobre el Delegado de Protección de datos; sobre el Ejercicio de los derechos y la posibilidad de dirigirse a la AEPD y sobre transferencias internacionales de dato, ((…)Para los usuarios de España y resto de países de la Unión Europea no se realizan transferencias internacionales de datos (…)), según se especifica en la política de privacidad. El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Información que debería aparecer en la “política de privacidad” de la página web en cuestión: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el art 49.1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. En el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B., titular de la página web reclamada y a D. A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es