PA-00022-2025

1/12  Expediente N.º: EXP202415232 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de octubre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A. o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: El reclamante manifiesta que A.A.A. ha utilizado sus datos personales para obtener información sin su consentimiento y que ha facilitado sus datos a terceros. Asimismo, indica que la web de la parte reclamada, donde se recogen datos personales, no contiene, ni en el aviso legal ni en la política de privacidad, mención alguna que permita identificar al responsable del tratamiento. SEGUNDO: Con fecha 28 de octubre de 2024 se procedió a comprobar por esta Agencia el sitio web ***WEB.1, en particular la sección correspondiente a “Política Privacidad”, incorporándose al expediente el documento obtenido a través de dicho sitio web. A continuación, se detalla el contenido del formulario de contacto y de la política de privacidad según constaban publicados en la web a 28/10/2024. Formulario de contacto CONTACTO Nombre (*) E-mail (*) Teléfono Descripción (*) Al pulsar el botón “ENVIAR” usted confirma que ha leído, entiende y acepta las condiciones de la Política de Privacidad expuestas y enlazadas situadas en este ENLACE Enviar” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 Política de Privacidad “Política Privacidad Responsable: XXXXX Finalidad: Gestión de las solicitudes de información a través de la página web con la finalidad de prestarles servicios profesionales inmobiliarios y así facilitarles información sobre lo que solicite. Legitimación: La legitimación se basa en el consentimiento que usted nos otorga al clicar el botón “Acepto la política de protección de datos”. Destinatarios: Sus datos no se cederán a nadie, salvo obligación legal. Derechos: Podrá ejercitar los derechos de acceso, rectificación, supresión, oposición, portabilidad y retirada de consentimiento de sus datos personales en la dirección de correo electrónico XXXXXX@XXXXXXX.es “Si necesitas ayuda profesional para poder introducir este apartado puedes usar estos gestores” Mas información” TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 06/11/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 18/11/2024 se recibe en esta Agencia escrito de respuesta indicando: "En virtud de la notificación recibida el día 6 de noviembre de 2024, dentro del plazo concedido venimos a aclarar los hechos alegados de contrario. Que desconozco quien es el Sr. (..)., que no tengo ni he tenido ningún tipo de relación comercial con ese señor. Referente a la reclamación que hace referencia a la política de privacidad de mi página web, adjunto como documento número 1, el informe donde argumento que la política de privacidad de mi página web es acorde a la ley." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 El escrito de respuesta se acompaña del Documento nº1, titulado “INFORME RESPECTO AL TRATAMIENTO DE DATOS DE MI PAGINA WEB”, en el cual se incluyen tres capturas de pantalla del sitio web ***WEB.1 con objeto de acreditar que la política de privacidad de la referida página web es acorde a la ley. La primera captura de pantalla muestra el contenido de la página web en el que se invita al usuario a suscribirse a la lista de correo mediante el siguiente mensaje: “Suscríbete a nuestra lista de correos y será el primero en recibir nuevas propiedades”. A continuación del mensaje, se habilita un campo para introducir la dirección de correo electrónico del usuario y enviarla. El envío está condicionado a la aceptación previa de la política de privacidad y el consentimiento expreso para la recepción de comunicaciones comerciales. Las otras dos capturas de pantalla se corresponden con el formulario de contacto y la política de privacidad previamente descritos. CUARTO: Con fecha 16 de enero de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Con fecha 13 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante, RGPD), tipificada en el artículo 83.5.

1. b)del RGPD. SEXTO: La notificación del citado acuerdo de inicio, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 14 de octubre de 2025 como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: En fecha 14 de octubre de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: “Primero.— Que con fecha 14 de octubre de 2025, he recibido acuerdo de inicio de procedimiento de apercibimiento dictado por esa Agencia en relación con la página web ***WEB.1, en el que se hace constar la posible infracción del artículo 13 del Reglamento (UE) 2016/679, relativo a la falta de información en la política de privacidad. Segundo.— Que, una vez recibida la notificación, ha procedido de forma inmediata a subsanar las deficiencias detectadas, actualizando la Política de Privacidad del sitio web, en la que ya se incluye: - La identificación completa del responsable del tratamiento (nombre, NIF y datos de contacto). - La finalidad y base jurídica de los tratamientos realizados. - La información sobre el ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad). - Los datos de contacto del responsable para el ejercicio de los derechos y presentación de reclamaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 - El derecho a presentar reclamación ante la AEPD, conforme al artículo 13 del RGPD. Tercero.— Que en ningún momento ha existido intención de incumplir la normativa ni se ha producido perjuicio alguno para los usuarios o terceros, tratándose únicamente de un error de omisión involuntario, ya totalmente corregido. Cuarto.— Que, en virtud del principio de proporcionalidad y considerando la colaboración y corrección voluntaria inmediata, se solicita a esa Agencia tenga por subsanadas las deficiencias observadas y, en consecuencia, acuerde el archivo del expediente o, en su caso, se limite a mantener el apercibimiento sin imposición de sanción alguna.” El escrito de alegaciones se acompaña de las siguientes evidencias: - Capturas de pantalla obtenida del sitio web ***WEB.1, en la que consta el contenido íntegro de la “Política de Privacidad” publicada en dicha página web. A continuación, se transcribe su contenido: “Política de Privacidad Responsable: A.A.A. Finalidad: Gestión de las solicitudes de información a través de la página web con la finalidad de prestarles servicios profesionales inmobiliarios y así facilitarles información sobre lo que solicite. Legitimación: La legitimación se basa en el consentimiento que usted nos otorga al clicar el botón "Acepto la política de protección de datos". Destinatarios: Sus datos no se cederán a nadie, salvo obligación legal. Derechos: Podrá ejercitar los derechos de acceso, rectificación, supresión, oposición, portabilidad y retirada de consentimiento de sus datos personales en la dirección de correo electrónico ***EMAIL.1 Responsable: A.A.A. – NIF ***NIF.1 Domicilio: ***DIRECCIÓN.1 Correo electrónico: ***EMAIL.1 Finalidad: Gestionar las solicitudes de información recibidas a través de la página web, con la finalidad de prestar servicios profesionales inmobiliarios y facilitar la información solicitada. Los datos se conservarán mientras se mantenga la relación profesional o mientras no se solicite su supresión, y durante los plazos necesarios para el cumplimiento de obligaciones legales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 Legitimación: La base jurídica del tratamiento es el consentimiento del interesado (art. 6.1.a RGPD), otorgado al marcar la casilla correspondiente y hacer clic en “Acepto la política de protección de datos”. Destinatarios: Los datos no se comunicarán a terceros, salvo obligación legal. No se prevén transferencias internacionales de datos. Derechos: Podrá ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento en cualquier momento enviando un correo electrónico a ***EMAIL.1. Asimismo, podrá presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.
2. es)si considera que el tratamiento no se ajusta a la normativa vigente.” OCTAVO: Con fecha 15 de octubre de 2025 se procedió a comprobar por esta Agencia el sitio web ***WEB.1, en particular la sección correspondiente a “Política Privacidad”, incorporándose al expediente el documento obtenido a través de dicho sitio web y constatándose la subsanación de las deficiencias advertidas en el acuerdo de inicio de este procedimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes HECHOS PROBADOS PRIMERO: A.A.A. es titular del sitio web ***WEB.1 que contiene un formulario de contacto a través del cual se recaban datos personales de los usuarios, en particular, nombre, email y teléfono, siendo obligatorios los campos correspondientes al nombre y al email. Al final del formulario figura una casilla que debe ser marcada por el usuario, junto a la leyenda “Al pulsar el botón “ENVIAR” usted confirma que ha leído, entiende y acepta las condiciones de la Política de Privacidad expuestas y enlazadas situadas en este ENLACE”. SEGUNDO: En la fecha de la reclamación, la política de privacidad disponible en la página web ***WEB.1 no incorporaba de forma adecuada la totalidad de la información que el RGPD impone facilitar a los interesados, en particular: - Falta de identificación del responsable del tratamiento y de sus datos de contacto. Se omitía toda referencia al plazo de conservación de los datos personales o, en su defecto, a los criterios utilizados para su determinación. Falta de identificación todos los derechos reconocidos a los interesados por la normativa vigente y de los canales habilitados para su ejercicio. Se omitía el deber de informar al interesado de su derecho a presentar una reclamación ante la autoridad de control competente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 TERCERO: Con fecha 14 de octubre de 2025, A.A.A. presentó escrito de alegaciones al acuerdo de inicio de este procedimiento de apercibimiento en el que manifiesta que ha procedido de forma inmediata a subsanar las deficiencias advertidas en el citado acuerdo, actualizando la Política de Privacidad de su sitio web. Asimismo, declara haber actualizado la base jurídica que legitima el tratamiento de datos personales, de conformidad con lo establecido en el artículo 6.1.
3. a)del RGPD. CUARTO: Con fecha 15 de octubre de 2025, tras el examen de la “Política de Privacidad” del sitio web ***WEB.1, se comprueba por esta Agencia que las deficiencias previamente advertidas han sido correctamente subsanadas, incorporándose la información requerida por los artículos 6, 12 y 13 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A., a través del formulario de contacto habilitado en la página web ***WEB.1, realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre, email y teléfono. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento de apercibimiento Procede, en primer lugar, atender las alegaciones efectuadas por la parte reclamada tras la notificación del acuerdo de inicio del procedimiento de apercibimiento y valorar positivamente que la parte reclamada haya procedido a adoptar medidas tendentes a subsanar la situación adecuando su página web a la normativa de Protección de Datos. Sin embargo, ello no desvirtúa el hecho de que en la fecha de la reclamación el contenido de la Política de Privacidad del sitio web de A.A.A. resultara insuficiente a la luz de las exigencias de información y transparencia previstas en los artículos 12 y 13 del RGPD. Por tanto, si bien se reconoce la diligencia posterior de A.A.A. para actualizar la Política de Privacidad de su página web, ello no le exime de la responsabilidad derivada del incumplimiento de las obligaciones de información impuestas por los citados preceptos y que le eran exigibles en el momento de los hechos. IV Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
15. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 Conviene resaltar que la obligación de informar del artículo 13 del RGPD ha de entenderse en el marco de los derechos de los interesados en relación con la transparencia, principio que debe regir el tratamiento de los datos conforme al artículo 5.1.
16. a)del RGPD. En este sentido, el artículo 12.1 del RGPD determina que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14 (…) en forma concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño.” Por otro lado, el Considerando 58 del RGPD prevé la posibilidad facilitar la información necesaria a través de un sitio web en los siguientes términos: “