PA-00009-2023

1/9  Expediente N.º: EXP202212259 (PA/00009/2023) RESOLUCIÓN DEL PROCEDIMIENTO DE APERCIBIMIENTO De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 10/10/22, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad BRAIN IN A VAT INSURANCE, S.L., (en adelante, la parte reclamada), con CIF.: B66830100, titular de la página web https://lapomabikepark.com, por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales. En la reclamación se señala que la web en cuestión tiene un apartado para el registro de clientes donde se recopilan datos a través de un formulario de registro. Que cuenta con un apartado sobre “Política de Privacidad”, donde figuran los datos identificativos de una asociación de carácter deportivo, CLUB CICLISTA BTT PREMIÀ DE DALT que nada tiene que ver con la entidad reclamada (BRAIN IN A VAT INSURANCE, S.L ) y que en el “Aviso Legal” de la web se incluye como responsable otra entidad ajena, “LA POMA TRAILS AND TRACKS SL”, extinguida hace años. SEGUNDO: Con fecha 18/11/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se dio traslado de dicha reclamación a la entidad “BRAIN IN A VAT INSURANCE, S.L.” para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que exponía en el escrito de reclamación. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 18/11/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado de forma automática el 29/11/

1. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, resultando “Devuelto a Origen por Sobrante”, (No retirado en oficina) el 27/12/22: 1º Intento de entrega el 15/12/22, ha resultado “ausente”. 2º Intento de entrega el 16/12/22 ha resultado “ausente”. Se dejó Aviso en buzón. TERCERO: Con fecha 18/11/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se dio traslado de dicha reclamación a la asociación, CLUB CICLISTA BTT PREMIA DE DALT, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que exponía en el escrito de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 18/11/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado de forma automática el 29/11/
2. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, resultando “Devuelto a Origen por Sobrante”, (No retirado en oficina) el 23/12/22: 1º Intento de entrega el 14/12/22 ha resultado “ausente”. 2º Intento de entrega el 15/12/22, ha resultado “ausente”. Se dejó Aviso en buzón. CUARTO: Con fecha 30/12/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, realizando, entre otras, las siguientes actuaciones y teniendo conocimiento, entre otros, de los siguientes extremos: - Mediante una diligencia se hace constar, con fecha 28/04/23, una conversación telefónica con el número de teléfono ***TELEFONO.1 que figura como contacto en la web, https://lapomabikepark.com/, - Con fecha 09/05/23 se recibe respuesta de la parte reclamada, en la que manifiesta, entre otras cuestiones, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid o El día 03/10/22 el parque de ciclismo denominado “BIKEPARK LA POMA” pasó a ser gestionado por la entidad BRAIN IN A VAT INSURANCE, S.L., y que hasta entonces había sido gestionado por el CLUB CICLISTA BTT PREMIÀ DE DALT. o Para la gestión de este parque se contaba con la web https://lapomabikepark.com/ , que el día 03/10/22 pasó a ser titularidad de BRAIN IN A VAT INSURANCE, S.L., habiendo sido, hasta este día, gestionada por el “CLUB CICLISTA BTT PREMIÀ DE DALT”. o En este sentido, las causas que motivaron la incidencia y que generaron la reclamación consistieron en que, el día 10/10/22, el nuevo responsable de la web aún no había actualizado los datos identificativos en la “Política de Privacidad”, ni en el “Aviso Legal” de la web en cuestión. www.aepd.es sedeagpd.gob.es 3/9 - o En febrero del 2023, se procedió a la eliminación del contenido de la web, indicando desde entonces que, está en fase de construcción (se adjunta captura de pantalla de la web); y en mayo de 2023 , se procedió a adecuar la Política de Privacidad y el Aviso legal de la web, proporcionando la información requerida por el artículo 13 del RGPD, así como la requerida por el artículo 10 de la LSSI. o No ha existido cesión de datos personales de BRAIN IN A VAT INSURANCE, S.L., (actual responsable de la web), al CLUB CICLISTA BTT PREMIÀ DE DALT en ningún caso y, concretamente, en cuanto al formulario citado en la reclamación y la inclusión de los datos personales que se incluyan en el mismo en un fichero propiedad del CLUB CICLISTA BTT PREMIÀ DE DALT, tampoco ha existido cesión de datos. o Hay que aclarar que en la web se señalaba a CLUB CICLISTA BTT PREMIÀ DE DALT únicamente por el motivo de que no habían sido actualizados los datos del titular de la web. Aporta copia de Aviso Legal y Política de Privacidad sin fecha. Se ha comprobado a fecha 26/06/23 que estos dos documentos figuran en la web https://lapomabikepark.com/ con la indicación “En construcción”, no existiendo ningún mecanismo que posibilite la recopilación de datos personales de los usuarios. SEXTO: Con fecha 28/08/23, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la entidad reclamada, otorgándole un plazo de audiencia previa de diez días para que aportara la documentación o información que desease con respecto a la reclamación presentada. SÉPTIMO: Con fecha 05/09/23, la parte reclamada presenta escrito de alegaciones en el cual manifiesta lo siguiente: PRIMERA. – Que el Responsable es titular de la página web https://lapomabikepark.com (en adelante la Web) desde el día 03/10/
3. Con anterioridad a esa fecha, el titular de la página web y por tanto responsable de la misma, había sido CLUB CICLISTA BTT PREMIÀ DE DALT. De estos hechos se informó adecuadamente a la AEPD por parte del Responsable el pasado día 09/05/23 como respuesta al requerimiento de información formulado por la AEPD, que fue recibido por el Responsable el 28/04/
4. SEGUNDA. – Que en respuesta a dicho requerimiento formulado al Responsable, se tomaron las medidas oportunas y adecuadas para dar cumplimiento al artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante RGPD). Concretamente, el Responsable actualizó tanto el Aviso Legal como la Política de Privacidad de la Web, constando en la misma los datos identificativos reales y actuales de la titularidad de la Web. Ambos textos se pueden observar que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 encuentran publicados (https://lapomabikepark.com) en la Web del Responsable TERCERA. – Que, a raíz de las medidas implementadas en la Web, el Responsable estaría cumpliendo con la obligación legal del deber de información que establece el artículo 13 del RGPD. Además, el Responsable también estaría cumpliendo con la obligación legal requerida en el artículo 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) CUARTA. - Que el Responsable considera que en virtud de las medidas previamente efectuadas y de las que se aporta prueba de ello (conforme se informa en la alegación SEXTA), se estaría cumpliendo adecuadamente con todas las obligaciones legales exigibles al Responsable para cumplir con la obligación legal del deber de información al interesado que se mencionan y exigen en la resolución del inicio del procedimiento de apercibimiento. QUINTA. - Que en virtud de todo lo anterior, la supuesta infracción del artículo 13 del RGPD que se imputa al Responsable no existiría. SEXTA. - Que para demostrar las presentes alegaciones se adjunta al presente escrito los siguientes documentos: • DOCUMENTO 1: Aviso Legal que se encuentra actualmente publicado en la Web del Responsable • DOCUMENTO 2: Política de Privacidad publicada en la Web del Responsable Por todo ello, el Responsable, SOLICITA Que la Directora de la Agencia Española de Protección de datos tenga por presentado en tiempo y forma el presente escrito de alegaciones y los documentos y argumentos que se alegan a los efectos de probar la inexistencia de la infracción que se le imputa al Responsable en el acuerdo de inicio de procedimiento de apercibimiento PA/00009/
5. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero: Según consta en la documentación e información aportada por las partes, el día 03/10/22 el Parque de Ciclismo denominado “BIKEPARK LA POMA”, gestionado hasta entonces por la entidad “CLUB CICLISTA BTT PREMIÀ DE DALT” pasó a ser gestionado por la entidad “BRAIN IN A VAT INSURANCE, S.L.”. Para la gestión de este parque se cuenta con la web https://lapomabikepark.com/, pero según reconoce el propio responsable de la web, una semana después de hacerse cargo de la web, (el día 10/10/22), aún no había actualizado los datos identificativos en la “Política de Privacidad” ni en el “Aviso Legal”. Segundo: Según declara el responsable de la web, en febrero del 2023 se procedió a la eliminación del contenido de la web, incluyendo en la misma un banner de información donde se indicaba que estaba en “fase de construcción” y en mayo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 2023 , se actualizó la información en la “Política de Privacidad” y en el “Aviso legal” de la web, respecto a la identificación del responsable de la misma. Tercero: Con fecha 26/06/23 se ha comprobado, por parte de esta Agencia que, al acceder a la web https://lapomabikepark.com/ aparece el mensaje sobreimpresionado: “En construcción”, no existiendo ningún mecanismo que posibilite la recopilación de datos personales de los usuarios. También se ha constatado que, en el “Aviso Legal” y en la “Política de Privacidad” de la web, aparecen los datos identificativos del actual responsable de la misma. FUNDAMENTOS DE DERECHO I.Competencia: De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II.Síntesis de los Hechos Según la reclamación recibida en esta Agencia el pasado día 05/10/22, el reclamado (BRAIN IN A VAT INSURANCE, S.L.) es el responsable la web https://lapomabikepark.com pero en el formulario para el registro de clientes, en su “Política de Privacidad” y en el “Aviso Legal”, figuraban los datos identificativos de una entidad ajena, el CLUB CICLISTA BTT PREMIÀ DE DALT. Según reconoce el responsable actual de la web, hasta febrero de 2023, la web estuvo sin ser actualizada pero en ese mes, modificó su estado a “En Construcción” y en el mes de mayo de 2023 modificó el “Aviso Legal” y la “Política de Privacidad” actualizándola con los datos identificativos del actual responsable. Según ha podido comprobar esta Agencia, con fecha 26/06/23, al acceder a la web https://lapomabikepark.com/ aparece el mensaje sobreimpresionado: “En construcción”, no existiendo ningún mecanismo que posibilite la recopilación de datos personales de los usuarios. También se ha constatado que, en el “Aviso Legal” y en la “Política de Privacidad” de la web, aparecen los datos identificativos del actual responsable de la misma. III.Información que deberá facilitarse cuando los datos personales se obtengan del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "
6. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
7. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos; f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
8. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado
9. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Pues bien, de las evidencias obtenidas en el presente caso, ha quedado constatado que la parte reclamada era responsable del sitio web https://lapomabikepark.com desde el 03/10/22 y que, desde entonces hasta el mes de febrero de 2023, no procedió a modificar la información de su “Política de Privacidad”, respecto de la identificación del responsable de la misma. IV.Tipificación y Calificación de la Infracción Los poderes correctivos de los que dispone la AEPD, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD-artículo 58.2 i)-, y la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo
10. 2 d)-. Ha quedado acreditado que los hechos expuestos incumplen lo establecido en el artículo 13 RGPD, por lo que podrían suponer la comisión una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: b) los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta:
11. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. V.Apercibimiento En el presente caso, atendidas las circunstancias que concurren en el presente procedimiento y atendiendo a lo estipulado en el artículo 58.2.b) del RGPD , indicado anteriormente y en el artículo 64 de la LOPDGDD, que en su apartado tercero, dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 “
12. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado (…)”. Se estima que, por la infracción del artículo 13 RGPD infringido procede dirigir al responsable de la web un APERCIBIMIENTO, por del tiempo que estuvo sin actualizar la “Política de Privacidad” de su página web, (desde el 03/10/22 hasta mayo de 2023), respecto de la identificación del responsable de la misma. Por lo tanto, de acuerdo con lo señalado la Directora de la Agencia Española de Protección de Datos ACUERDA: PRIMERO: APERCIBIR a la entidad BRAIN IN A VAT INSURANCE, S.L., con CIF.: B66830100, titular de la página web https://lapomabikepark.com, por la infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, respecto del tiempo que estuvo sin actualizar la “Política de Privacidad” de la página web, respecto de la identificación del responsable de la misma. SEGUNDO: NOTIFICAR el presente acuerdo a la entidad BRAIN IN A VAT INSURANCE, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es