PA-00025-2025

1/18  Expediente N.º: EXP202413548 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de septiembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a LOKURA PC COMPUTER SHOP, S.L. con NIF B54749908 (en adelante, LOKURA PC). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: El sitio web de LOKURA PC, a pesar de la existencia de un formulario de recogida de datos personales, no cuenta con aviso legal y el apartado de Política de Privacidad está incompleto, al no identificarse adecuadamente al responsable, entre otras deficiencias. SEGUNDO: Con fecha 3 de octubre de 2024 se procedió a comprobar por esta Agencia el sitio web https://lokurapc.es/, en particular las secciones https://lokurapc.es/contacto/ y https://lokurapc.es/politica-privacidad/, incorporándose al expediente tanto el Formulario de contacto como la Política de Privacidad obtenidos a través de dicho sitio web. A continuación, se detalla el contenido de ambos documentos según constaban publicados en la web a 03/10/2024. Formulario de contacto “Contacto Estamos aquí para ayudarte C. Manuel de Falla, 26, 03187 Los Montesinos, Alicante 966 72 04 80 Síguenos Envíanos tu mensaje C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 Nombre (*) Email Teléfono (*) Consulta (*) He leído y acepto la Política de Privacidad Introduce el código de seguridad Enviar (*) Datos obligatorios" Política de Privacidad “Política de privacidad A efectos de los previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, Lokura PC SL informa al Usuario de que es titular de un fichero de datos de carácter personal inscrito ante el R.G.P.D. (Registro General de Protección de Datos), en los que sus datos quedan incorporados y son tratados con el fin de prestarle los servicios solicitados y enviarle la información de nuestra empresa que pueda ser de su interés. ENVIO Y REGISTRO DE DATOS DE CARÁCTER PERSONAL. El envío de datos de carácter personal es obligatorio para contactar y realizar operaciones comerciales con Lokura PC S.L. Asimismo, el no facilitar los datos personales solicitados o el no aceptar la presente política de protección de datos supone la imposibilidad de suscribirse a nuestros contenidos y procesar las solicitudes realizadas en nuestro portal. De acuerdo a lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que los datos personales que nos envíe serán incorporados a nuestro Fichero de USUARIOS DE LA WEB, titularidad de Lokura S.L. y con domicilio en Alicante, ……Este fichero tiene implementadas todas las medidas técnicas y organizativas de seguridad establecidas en el Real Decreto 1720/2007, de desarrollo de la LOPD. NAVEGACIÓN Al navegar por nuestras páginas webs los servidores de Internet almacenarán su dirección IP en los logs de acceso de forma automática y con la única finalidad de permitir el tránsito por Internet, siendo necesario que su equipo facilite esta dirección IP cuando navega por Internet para que las comunicaciones puedan realizarse. Su dirección IP será utilizada además para realizar estadísticas sobre el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 visitantes de esta web y su procedencia, de forma totalmente transparente para la navegación. EXACTITUD Y VERACIDAD DE LOS DATOS El usuario es el único responsable de la veracidad y corrección de los datos que remita a Lokura PC S.L. exonerando al Prestador de cualquier responsabilidad al respecto. Los usuarios garantizan y responden, en cualquier caso, de la exactitud, vigencia y autenticidad de los datos personales facilitados, y se comprometen a mantenerlos debidamente actualizados. El usuario acepta proporcionar información completa y correcta en el formulario de contacto o suscripción. Lokura PC S.L. no responde de la veracidad de las informaciones que no sean de elaboración propia y de las que se indique otra fuente, por lo que tampoco asume responsabilidad alguna en cuanto a hipotéticos perjuicios que pudieran originarse por el uso de dicha información. Se exonera al Prestador de responsabilidad ante cualquier daño o perjuicio que pudiera sufrir el Usuario como consecuencia de errores, defectos u omisiones, en la información facilitada por Lokura PC S.L. siempre que proceda de fuentes ajenas a la empresa. EJERCICIO DE LOS DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN U OPOSICION. Podrá dirigir sus comunicaciones y ejercitar los derechos de acceso, rectificación, cancelación y oposición a través de correo postal en C/ ……. (Alicante), o al correo electrónico: …. junto con prueba válida en derecho, como fotocopia del D.N.I. o equivalente, indicando en el asunto “PROTECCIÓN DE DATOS”. ACEPTACIÓN Y CONSENTIMIENTO. El usuario declara haber sido informado de las condiciones sobre protección de datos de carácter personal, aceptando y consintiendo el tratamiento de los mismos por parte de Lokura PC S.L., en la forma y para las finalidades indicadas en la presente Política de Protección de Datos Personales. CAMBIOS EN LA PRESENTE POLITICA DE PRIVACIDAD Lokura PC S.L. se reserva el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales, así como a prácticas de la industria. En dichos supuestos, el Prestador anunciará en esta página los cambios introducidos con razonable antelación a su puesta en práctica. CORREOS COMERCIALES De acuerdo con la LSSICE, Lokura PC S.L. no realiza prácticas de SPAM, por lo que no envía correos comerciales por vía electrónica que no haya sido previamente solicitados o autorizados por el Usuario. En consecuencia, en cada uno de los formularios en la Página Web, el Usuario tiene la posibilidad de dar su consentimiento expreso para recibir nuestra “Newsletter”, con independencia de la información comercial puntualmente solicitada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LOKURA PC, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 15/10/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó por medios electrónicos, a título informativo se envió, en dos ocasiones, una copia por correo postal que fue notificada fehacientemente en fechas 09/12/2024 y 10/12/2024. En dichas notificaciones, se le recordaba a la parte reclamada su obligación de relacionarse electrónicamente con la Administración, y se le informaba de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 08/01/2025 se recibe en esta Agencia escrito de respuesta indicando: “1. Aportación de los informes técnicos o recomendaciones elaborados por el delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. No se han elaborado informes como tal para tratamientos puntuales de datos por no haber resultado necesario hasta el momento. No obstante, la entidad cuenta con políticas y procedimientos en cumplimiento de la normativa vigente en materia de protección de datos y que quedan a disposición de la AEPD por si resultase necesario. 2. La decisión adoptada a propósito de esta reclamación. Se envía de inmediato un correo electrónico pidiendo disculpas y se borra de la base de datos la dirección de mail del denunciante. Se aporta pantallazo del envío de dicho mail como documento ANEXO N.º 1. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. La causa que motiva la incidencia resulta ser el envío de un correo electrónico de carácter comercial a una dirección de correo cuya empresa o profesional no había consentido previamente la recepción de tal tipología de mails. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 Conviene, no obstante, resaltar que no se trata de la dirección de correo de un usuario particular o persona física ya que las personas físicas no son clientes de esta entidad. La clientela habitual está conformada por personas jurídicas o profesionales. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Conviene resaltar que esta entidad, nada más tener conocimiento de la incidencia, envió un mail pidiendo disculpas, tal y como muestra el documento ANEXO N.º 1 adjunto a las presentes alegaciones. Por otro lado, puede comprobarse que la página web de la entidad se encuentra plenamente actualizada. 5. Cualquier otra que considere relevante. (…) 1. La incidencia objeto de reclamación ha afectado únicamente a un usuario y que no se trata de una persona física. Además, no se le han producido daño o perjuicio cuantificable alguno, atendiendo a su naturaleza, gravedad y duración. 2. No ha existido intencionalidad alguna por parte de la entidad, debiéndose a un hecho derivado de la concurrencia de unas circunstancias extraordinarias y excepcionales. 3. Se han adoptado, con carácter urgente, todas las medidas tendentes a la corrección de la concreta incidencia objeto de reclamación, así como todas las medidas complementarias necesarias para evitar que la misma se reproduzca en un futuro, aun cuando concurran circunstancias tan singulares y extraordinarias como las que eventualmente se han producido en el caso presente. 4. La entidad no ha cometido con anterioridad infracción alguna relacionada con la normativa de protección de datos personales. 5. Desde el primer momento en que esta entidad ha tenido conocimiento del procedimiento, se han destinado una gran cantidad de recursos y esfuerzos para colaborar con la Agencia Española de Protección de Datos y así garantizar la defensa de los derechos y libertades del interesado. 6. No se trata de una actuación con la que se pretendan obtener beneficios y, efectivamente, no se han obtenido. (…).” CUARTO: Con fecha 3 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Con fecha 25 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.

1. b)del RGPD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 31 de octubre de 2025 como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 11 de noviembre de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones, de las cuales se deriva su solicitud de que se proceda al archivo de este procedimiento: “(…) el día 27 de diciembre de 2024 se contrataron los servicios proporcionados por ***EMPRESA.1, como consultora especialista en materia de cumplimiento normativo. (…) En este sentido, se procedió a contestar el requerimiento inicial de la AEPD y se inició un proceso de implantación y revisión del sistema en materia de protección de datos para actualizar y cumplir con el (…) RGPD y (…) la LOPDGDD. (…) (…) en respuesta al requerimiento del AEPD, se ha procedido a actualizar los textos legales de la página web de LOKURA PC COMPUTER SHOP, S.L. (https://lokurapc.es), haciendo hincapié en la parte de contacto (https://lokurapc.es/contacto/) y política de privacidad (https://lokurapc.es/politicaprivacidad/), cumpliendo todos los requisitos de información exigidos en el artículo 13 del RGPD.” Junto al escrito, se aporta:  “Documento_N_1__Protocolo_derechos_de_interesado_signed”: Protocolo de atención al ejercicio de los derechos de los interesados en materia de protección de datos personales, emitido en nombre de LOKURA PC COMPUTER SHOP, S.L. y firmado, mediante certificado electrónico, en fecha 11 de noviembre de 2025, por su administradora. OCTAVO: Con fecha 23 de marzo de 2026 se procedió a comprobar por esta Agencia el sitio web https://lokurapc.es, en particular la sección correspondiente a “Política de Privacidad” y la sección correspondiente a “Contacto”, incorporándose al expediente los documentos obtenidos a través de dicho sitio web. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: LOKURA PC es titular del sitio web https://lokurapc.es que contiene un formulario de contacto a través del cual se recaban datos personales de los usuarios, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 en particular, nombre, email y teléfono, siendo obligatorios los campos correspondientes al nombre y al teléfono. Al final del formulario se incluyen dos casillas, una de ellas de marcado obligatorio con carácter previo al envío, destinada a recabar el consentimiento del usuario para el tratamiento de sus datos personales conforme a las finalidades descritas en la política de privacidad; y otra, de carácter opcional, relativa al consentimiento para la recepción de comunicaciones comerciales. SEGUNDO: En la fecha de la reclamación, la Política de Privacidad disponible en la página web https://lokurapc.es no incorporaba de forma adecuada la información que el artículo 13 del RGPD exige facilitar a los interesados cuando los datos personales se obtengan de ellos, en particular:  La norma jurídica de referencia citada – la Ley Orgánica 15/1999 – estaba derogada y no resultaba ya aplicable en aquel momento, por lo que la Política de Privacidad se encontraba desactualizada.  No se identificaba correctamente al responsable del tratamiento incluyendo sus datos de contacto.  El enunciado relativo a las finalidades del tratamiento carecía de la concreción necesaria, incumpliendo de este modo el principio de transparencia establecido en el artículo 12 del RGPD.  No se especificaba adecuadamente la base jurídica del tratamiento.  No se advertía mención alguna a la eventual cesión o comunicación de los datos personales a terceros, ni la posible existencia de transferencias internacionales.  Se omitía toda referencia al plazo de conservación de los datos, o, en su defecto, a los criterios utilizados para su determinación.  No se identificaban todos los derechos reconocidos por la normativa vigente, ni se especificaban adecuadamente los criterios utilizados para su determinación. TERCERO: Con fecha 11 de noviembre de 2025, LOKURA PC presentó escrito de alegaciones al acuerdo de inicio de este procedimiento de apercibimiento en el que manifiesta haber contratado el asesoramiento jurídico de la consultora ***EMPRESA.1, especializada en materia de protección de datos, y haber implantado y revisado su sistema en materia de protección de datos para asegurar su adecuación a la normativa aplicable, aportando el “Protocolo de atención a los derechos de los interesados”. Asimismo, la entidad reclamada manifiesta haber actualizado su página web, prestando especial atención a la sección de “Contacto” y a la “Política de Privacidad”, con el fin de cumplir los requisitos de información establecidos en el artículo 13 del RGPD. CUARTO: Con fecha 23 de marzo de 2026, tras el examen por esta AEPD de la “Política de Privacidad” accesible a través del sitio web de la entidad reclamada, se constata que dicha política se presenta en esa fecha, en un formato de preguntas y respuesta cuyo contenido solo cubre parcialmente los extremos sobre los que debe informarse al interesado cuando los datos se obtienen directamente de este, conforme al artículo 13 del RGPD. La Política de Privacidad se inicia con un texto introductorio en el que la entidad informa de su cumplimiento de la normativa de protección de datos aplicable en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 España y en Europa, sin identificarla de forma concreta. Por otro lado, no se identifica claramente de la base jurídica que legitima el tratamiento para cada una de las finalidades indicadas, la información sobre las transferencias internacionales de datos resulta insuficiente y jurídicamente defectuosa y la redacción del apartado relativo a los derechos del interesado dificulta la comprensión de los mecanismos para ejercer los derechos contemplados en el RGPD. Se detectan también deficiencias en las vías para retirar el consentimiento previamente otorgado, en la información sobe el plazo de conservación de los datos y en la información ofrecida sobre los mecanismos para garantizar el ejercicio de los derechos de los interesados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que LOKURA PC, a través del formulario de contacto habilitado en la página web https://lokurapc.es/, realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre, email y teléfono. LOKURA PC realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento de apercibimiento Las alegaciones formuladas por LOKURA PC en su escrito de fecha 11 de noviembre de 2025, pueden resumirse en la contratación de una consultora especializada en materia de protección de datos (***EMPRESA.1), la adopción de un Protocolo para el ejercicio de los derechos de los interesados conforme al capítulo III del RGPD, y la actualización de la Política de Privacidad de su página web de conformidad con lo establecido en el artículo 13 del RGPD. LOKURA PC afirma haber actualizado el contenido de su Política de Privacidad conforme a lo dispuesto en el RGPD, en su respuesta a la notificación del Acuerdo de Inicio de este procedimiento en el que se ponían de manifiesto determinadas deficiencias. Sin embargo, del análisis de su contenido actualizado se desprende que persiste la infracción al advertirse no solo la existencia de nuevas deficiencias en relación con la obligación de información, sino también la falta de subsanación de algunas previamente advertidas. En particular, se constata que, en el apartado relativo a la finalidad del tratamiento de los datos personales (“¿Para qué vamos a usar sus datos?”), no se incluye identificación clara y completa de la base jurídica que legitima el tratamiento para cada una de las finalidades indicadas, pese haber sido esta omisión expresamente señalada con anterioridad. Asimismo, en el apartado inmediatamente posterior (“¿Por qué necesitamos usar sus datos?”), tampoco se especifica ni se concreta dicha base jurídica. Por otro lado, en el apartado relativo a la eventual intención del responsable de transferir datos personales a un tercer país u organización internacional (“¿Enviaremos sus datos a otros países?”), la información proporcionada resulta insuficiente y jurídicamente defectuosa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 Tal y como está redactado, este apartado no permite al interesado conocer de manera clara y específica los posibles terceros países de destino, ni si efectivamente se producirán dichas transferencias, cuándo y bajo qué condiciones, ni las garantías aplicables que ampararían el envío. En consecuencia, el referido apartado no resulta conforme con lo dispuesto en el artículo 13.1.
2. f)del RGPD. En cuanto al apartado relativo a los derechos del interesado (“¿Cuáles son sus derechos de protección de datos?”), su redacción resulta poco clara y ambigua, dificultando la comprensión de los mecanismos para ejercer los derechos contemplados en el RGPD. En particular, se advierte que: o o o o Supresión de datos condicionada: la política condiciona la supresión de los datos a “una vez finalizada nuestra relación, en el caso de que ello sea legalmente posible”, lo que limita indebidamente el derecho del interesado a solicitar la supresión en cualquier momento, especialmente cuando la base de legitimación sea el consentimiento. Derecho de limitación del tratamiento no informado: no se menciona expresamente el derecho a la limitación del tratamiento regulado en el artículo 18 del RGPD, con lo que se incumple la obligación de información completa sobre todos los derechos del interesado. Decisiones individuales automatizadas y elaboración de perfiles, contemplado (artículo 22 del RGPD): no se informa sobre el derecho del interesado a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, ni se menciona su derecho a oponerse o retirar su consentimiento para la elaboración de perfiles. Medios para ejercitar los derechos: la política hace constar que “En las oficinas de nuestra entidad disponemos de formularios específicos para solicitar dichos derechos y le ofrecemos nuestra ayuda para su cumplimentación”. Esta configuración limita indebidamente el acceso del interesado, máxime teniendo en cuenta que sus datos personales se recaban por internet. Conforme al artículo 12.2 del RGP, el responsable del tratamiento debe garantizar el ejercicio de los derechos mediante procedimientos adecuados, incluyendo medios electrónicos cuando proceda. Esto implica que cuando los datos se recaban por internet, los mecanismos para ejercer derechos deben ser electrónicos y accesibles, no únicamente físicos. En la era digital, el ejercicio de los derechos de los interesados debe garantizarse de manera efectiva, facilitando su acceso mediante procedimientos ágiles, adecuados y sin restricciones innecesarias. Limitar dichos procedimientos a formularios físicos en la sede del responsable dificulta su ejercicio efectivo y contraviene el artículo 12 del RGPD, así como los principios de transparencia y accesibilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 Del mismo modo, en el apartado relativo a la retirada del consentimiento (“¿Puede retirar su consentimiento si cambia de opinión en un momento posterior?”), se indica que esta puede hacerse constar únicamente “a través del formulario de oposición al tratamiento disponible en las oficinas de nuestra entidad”. Dado que el consentimiento debe ser revocable en cualquier momento y mediante un procedimiento tan sencillo como el utilizado para otorgarlo (artículo 7.3 del RGPD), esta limitación a una canal físico constituye una restricción innecesaria que dificulta el ejercicio efectivo de este derecho, especialmente cuando el consentimiento se recaba por medios electrónicos. Con relación al plazo de conservación de los datos personales (apartado “¿Durante cuánto tiempo vamos a conservar sus datos?”), se hace constar los siguiente: “Conservaremos sus datos durante nuestra relación y mientras nos obliguen las leyes. Una vez finalizados los plazos legales aplicables, procederemos a eliminarlos de forma segura y respetuosa con el medio ambiente.” Conforme al artículo 13.2.
3. a)del RGPD, el responsable debe informar al interesado sobre los plazos de conservación específicos de cada categoría de datos, o, en su defecto, los criterios utilizados para determinar dichos plazos. La expresión genérica utilizada no permite al interesado conocer cuándo se eliminarán efectivamente sus datos, ni cuáles son los criterios aplicados, incumpliendo el deber de transparencia. Esta interpretación se ve reforzada por las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso — adoptadas por el Comité Europeo de Protección de Datos el l 28 de marzo de 2023, en las que se indica con relación a la “Información sobre el tratamiento y sobre los derechos de los interesados” lo siguiente: “La mera referencia, por ejemplo, a la «supresión tras la expiración de los plazos legales de conservación» no es suficiente. Las indicaciones relativas a los plazos de conservación de los datos deberán centrarse en los datos específicos relativos al interesado. Si los datos personales del interesado están sujetos a diferentes plazos de supresión (por ejemplo, porque no todos los datos están sujetos a obligaciones legales de conservación), los plazos de supresión se indicarán en relación con las operaciones de tratamiento y las categorías de datos correspondientes.” Por último, resulta pertinente subrayar la importancia de consignar correctamente los canales y mecanismos para garantizar el ejercicio de los derechos de los interesados, incluyendo el derecho a presentar una reclamación ante la autoridad de control, ya que la dirección web de la AEPD se consigna erróneamente, lo que dificulta o impide un acceso efectivo a la información. Asimismo, se considera esencial que toda Política de Privacidad informe de manera específica sobre la normativa aplicable, tanto a nivel europeo como español, en cumplimiento del principio de transparencia previsto en los artículos 12 y 13 del RGPD, de modo que el interesado puede identificar con claridad la regulación que le ampara. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 A la vista de lo anterior, no procede estimar las alegaciones formuladas por LOKURA PC, sino que resulta necesario precisar su obligación de actualizar de manera adecuada y completa la Política de Privacidad de su sitio web, garantizando que se cumplan los requisitos previstos en los artículos 12 y 13 del RGPD. IV Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; v
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
15. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." Conviene resaltar que la obligación de informar del artículo 13 del RGPD ha de entenderse en el marco de los derechos de los interesados en relación con la transparencia, principio que debe regir el tratamiento de los datos conforme al artículo 5.1
16. a)del RGPD. En este sentido, el artículo 12.1 del RGPD determina que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14 (…) en forma concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño.” Por otro lado, el Considerando 58 del RGPD prevé la posibilidad facilitar la información necesaria a través de un sitio web en los siguientes términos: “