1/5 Procedimiento Nº: E/10280/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante CAMP LLONG GASTRONOMIA, S.L. en virtud de reclamación presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de agosto de 2018 se registra de entrada en la Agencia Española de Protección de Datos reclamación interpuesta por Don A.A.A., (en adelante, el reclamante), contra el titular de la página web novafontblanca.cat por carecer de política de privacidad en la que se informe a los usuarios, a los que se recogen datos de carácter personal a través de un formulario de contacto, sobre los derechos establecidos en la normativa vigente de protección de datos. El reclamante adjunta impresión de pantalla del formulario de contacto procedente del sitio web novafontblanca.cat/ca/restaurant/novafontblanca, en el que los usuarios del portal que lo cumplimenten deben cumplimentar obligatoriamente los campos correspondientes al nombre, e-mail y mensaje, pudiendo rellenar voluntariamente los campos correspondientes al teléfono y asunto. El formulario contiene un botón para enviar el formulario, sin incluir ningún tipo de información relativa al tratamiento de datos personales o dirigir a la misma a través de un enlace u otro mecanismo. SEGUNDO: Con fecha 8 de octubre de 2018, se traslada al Restaurante “Nova Fontblanca” la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado al responsable del tratamiento. TERCERO: Con fecha 26 de noviembre de 2018, de conformidad con el artículo 9.5 del Real Decreto-ley 5/2018 de 27 de julio y a los efectos previstos en su artículo 11, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 reclamación presentada por el reclamante contra el responsable del tratamiento de datos personales analizado. CUARTO: Con fecha 14 de noviembre de 2018 se registra de entrada en esta Agencia escrito del representante legal de la sociedad mercantil CAMP LLONG GASTRONOMIA, S.L., titular del Restaurante “Nova Font Blanca),( en adelante, la reclamada) indicando que dicha sociedad “dispone de una página web en cuyo diseño inicial se incluyó un formulario de contacto que actualmente se ha excluido de aquella puesto que nunca se accedió a ninguno de los datos del mismo ni se desea hacerlo”, aportando en apoyo de tal manifestación certificado de la empresa diseñadora de la web del restaurante. Estima, por tanto, que no ha habido ninguna vulneración de la privacidad de los datos, ya que el formulario de contacto no ha estado operativo al no incorporarse los datos de los usuarios web a ninguna base de datos de la empresa ni de terceros. Añade que en la actualidad no se incluye política de privacidad en la página web del mencionado restaurante al no recogerse datos personales a través de la misma, puesto que el formulario de contacto ha sido retirado, lo que acredita aportando certificado emitido el 31 de octubre de 2018 por la empresa diseñadora de la página web. También informa que a raíz del requerimiento recibido, y a fin de adecuar la empresa a las directrices establecidas por el RGPD, ha contratado a una consultora externa que ha evaluado el estado de flujos de datos, analizado procesos que pueden derivar en responsabilidad legal, y ha desarrollado, junto el Delegado de Protección de Datos, las siguientes medidas:
- a)Ajuste de cláusulas con empresas externas;
- b)Buenas prácticas de ciberseguridad y equipos informáticos;
- c)Elaboración de un procedimiento para atender a nuevos derechos de los usuarios. Adjunta copia de un “Certificado de Cumplimiento” del RGPD, en el que se señala que LAE Consulting ha llevado a cabo la consultoría de adecuación al RGPD a la empresa CAMP LLONG GASTRONOMIA, S.L. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control y según lo establecido en los artículos 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver esta reclamación. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
- c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III En el presente caso, la reclamación recibida en esta Agencia contra el responsable de la página web novafontblanca.cat por no facilitar a los usuarios del portal cuyos datos obtenía vía formulario web la información prevista en el artículo 13 del RGPD en el momento de la recogida los mismos. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de la misma al Restaurante “Nova Font Blanca”, cuyo titular ha resultado ser la sociedad CAMP LLONG GASTRONOMIA, S.L., a su vez, también responsable de la página web novafontblanca.cat, para que procediese a su análisis e informara a esta Agencia en el plazo de un mes sobre las cuestiones señaladas en el Hecho Segundo de esta resolución. Este requerimiento de información fue contestado por la reclamada, con fecha 14 de noviembre de 2018, en los términos que se indican en el Hecho Cuarto de esta Resolución. Por otro lado, se acusó recibo de la reclamación presentada al reclamante, informándole además de su traslado al citado Restaurante y del requerimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 efectuado al mismo para que informase a esta Agencia del resultado final de las acciones llevadas a cabo para atender la reclamación. En el presente supuesto, de la documentación aportada por el reclamante se desprende que, en la fecha de la reclamación, el responsable del mencionado sitio web recogía datos personales de los usuarios del portal a través del formulario de contacto sin informarles, en ese momento, de los extremos recogidos en el artículo 13 del RGPD. A la vista de las razones expuestas por la reclamada y la documentación presentada por la misma, se considera que existen indicios de prueba de que el tratamiento automatizado efectuado con dichos datos personales se habría limitado a esa operación de recogida, por lo que no siendo tratada esa información para otras finalidades, dicha sociedad, tras recibir de esta Agencia el traslado de la reclamación, procedió a eliminar del sitio web el reseñado formulario, ya que, según afirma, no había accedido a ninguno de esos datos personales ni deseaba hacerlo en el futuro. La reclamada apoya tales manifestaciones presentando certificado emitido con fecha 31 de octubre de 2018 por la empresa Servicios WebApp 3.0, S.L., diseñadora del sitio web analizado, en el que consta que el reseñado formulario de contacto ha sido excluido del portal y que no figura información sobre la política de privacidad al no recogerse datos personales de los usuarios del portal. También se indica que se ha contratado una empresa consultora para adoptar las medidas necesarias para adecuar la empresa a las obligaciones establecidas en el RGPD. En relación con los documentos aportados como habilitados para atender los derechos de los interesados que, en el futuro, pudieran facilitar sus datos personales a la reclamada por los mecanismos que se establezcan, se observa que el apartado “Protección de Datos Camp LLong Gastronomía, S.L.” del documento aportado, denominado “Política de Privacidad y Aviso Legal Web”, no aparece toda la información a la que se refiere el artículo 13 del RGPD, incluida la prevista en el apartado 3 del mismo. Todo ello amén de que, si los datos recabados de los interesados pretendieran usarse con fines publicitarios por medios de comunicación electrónica, resultaría obligado ofrecer un mecanismo sencillo y gratuito para oponerse a ese tipo de tratamiento, conforme a lo dispuesto en el artículo 21.2 de la Ley 34/2002, de 11 de julio. A la luz de la valoración conjunta de las circunstancias citadas, y teniendo en cuenta que en la actualidad se ha retirado el formulario de contacto de la reseñada página web, se considera procedente acordar el archivo de las presentes actuaciones. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que el responsable del tratamiento aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución GASTRONOMIA, S.L. y a Don A.A.A.. a la sociedad CAMP LLONG Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es