PA-00054-2025

(46120), Alboraya, Valencia, Comunidad Valenciana”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SPIN INTERNACIONAL SLU, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelta por "dirección incorrecta". La notificación se reiteró por correo postal certificado en fecha 28/06/2024, y fue nuevamente devuelta por "desconocido". No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 17 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Durante las actuaciones previas de investigación se ha tenido conocimiento de lo siguiente: Respecto a los burofaxes aportados por la parte reclamante, se comprueba que no consta sello de recepción de la oficina de correos ni acuse de recibo por entidad destinataria SPIN INTERNATIONAL. En el burofax de fecha 10 de enero de 2024 no aparece ningún domicilio de envío. Por otra parte, tampoco se tiene conocimiento de la procedencia del domicilio del destinatario que consta en el burofax de fecha 15 de febrero de 2024, ya que el domicilio de envío no corresponde con el que figuraba en el sitio web, y el NIF reflejado en este mismo burofax corresponde a otra empresa. En el comienzo de las presentes actuaciones se comprueba que el derecho ejercido por la parte reclamante de eliminación del vídeo ***URL.1 ha sido atendido por la parte reclamada ya que no se encuentra en la plataforma YouTube, devolviendo esta plataforma el mensaje de que ese vídeo no está disponible. No obstante, en su sitio web, aparece un vídeo, que podría corresponder con el vídeo señalado en la reclamación, pero que ha sido tratado digitalmente en el que se aprecia un rostro sintetizado, sin que pueda afirmarse que, en virtud del mismo, el reclamante resulte identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 Este vídeo, se encuentra incrustado en su sitio web https://centralspin.com y reproduce el vídeo que se encuentra en el canal de YouTube de la parte reclamada en la dirección ***URL.2. Como ya ha quedado reflejado, dado que no se dispone de las evidencias necesarias de que la parte reclamada hubiera publicado un vídeo en el que se pudiera identificar directa o indirectamente a la parte reclamante, se solicita a esta parte que presente alguna evidencia certificada de la publicación de su imagen. A resultas de esta solicitud, con fecha de 20 de septiembre de 2024 se recibe en esta Agencia escrito remitido por la parte reclamante incorporando certificación de la entidad (…), de capturas del vídeo publicado. No obstante, lo que presenta son imágenes del video manipulado digitalmente que no garantiza la identificación de la parte reclamante. Por lo tanto, no se tiene la evidencia necesaria para confirmar que la imagen de la parte reclamante hubiera sido tratada en el vídeo señalado en la reclamación. Con objeto de verificar si a partir de la imagen manipulada del vídeo en cuestión pudiera llegar a identificarse a la parte reclamante, con fecha de notificación de 6 de junio de 2025 se remite al reclamante requerimiento para que presente en esta Agencia una fotografía en la que se pueda apreciar su rostro, pero no se ha recibido escrito remitido por la parte reclamante facilitando lo requerido. Respecto al cumplimiento de la normativa de protección de datos de carácter personal en el sitio web https://centralspin.com en el transcurso de las presentes actuaciones se ha podido comprobar que los documentos relativos a los términos de servicio y la política de privacidad respecto a los tratamientos, que originalmente se encontraban en un único documento con referencia normativa obsoleta y con identificación del responsable incorrecta, se han adecuado a la normativa vigente proporcionando en documentos diferentes los términos de servicio, el aviso legal y la política de privacidad, informando en el aviso legal y la política de privacidad del responsable del tratamiento (EUROSPIN 2024, S.L.), y en la última, de los derechos de los interesados, el procedimiento para el ejercicio de estos derechos y las finalidades de los tratamientos. No obstante, lo anterior, se comprueba que en la política de privacidad consta expresamente que el interesado no puede ejercer su derecho a la portabilidad de sus datos. Por otra parte, en el formulario de contacto que ofrece el sitio web, en el que se recoge el nombre del usuario, correo electrónico y teléfono, no contiene casilla de verificación de aceptación de la política de privacidad. Se incorpora a este expediente impresión de pantalla del formulario de contacto. QUINTO: Con fecha 31 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a EUROSPIN 2024 S.L, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5.

1. b)del RGPD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 recogida en fecha 15 de enero de 2026 como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 18 de febrero de 2026, se reciben alegaciones por EUROSPIN 2024, SL sobre tres aspectos: En primer lugar sobre la situación actual de la web https://centralspin.com y la naturaleza del tratamiento de datos, indicando al respecto que “se han eliminado o se encuentran en proceso de eliminación los apartados relativos a registro de usuarios, manejo de correos y contraseñas, así como cualquier funcionalidad de compra o contratación en línea, de forma que no se recopilarán datos personales a través de formularios, salvo que en el futuro se valore mantener un sencillo formulario de contacto” En segundo lugar se hace mención en relación a las medidas ya adoptadas y/o comprometidas para la plena adecuación al artículo 13 RGPD, indicándose que “la entidad ha revisado la referencia al derecho de portabilidad con el fin de que la política de privacidad refleje de manera precisa todos los derechos aplicables (acceso, rectificación, supresión, oposición, limitación, portabilidad y reclamación ante la AEPD) en aquellos supuestos en los que proceda, evitando formulaciones que puedan interpretarse como una exclusión genérica de dicho derecho. Igualmente, dentro del rediseño funcional de la web, se está valorando la existencia misma de formularios de contacto. En caso de mantenerse alguno, se prevé que cuenten con una casilla de verificación específica y no premarcada de aceptación de la política de privacidad, accesible mediante enlace visible, de forma coherente con los requisitos de transparencia del artículo 13 RGPD. Finalmente, la revisión técnica de la web incluye la implantación de un sistema de gestión de cookies que permita al usuario aceptar o rechazar de forma sencilla y granular las cookies no necesarias, asegurando que las opciones de rechazo sean tan accesibles como las de aceptación, conforme a los criterios de la AEPD.” En último lugar EUROSPIN 2024, SL presenta alegaciones sobre el carácter leve y plenamente corregible de las deficiencias observadas, afirmando que “hay una total ausencia de intencionalidad lesiva por parte de “EUROSPIN 2024, S.L.”, y en base a ello afirma que “la información sobre derechos y al eventual uso de formularios de contacto y que finalmente el núcleo de la reclamación inicial (presunto uso indebido de la imagen del reclamante en un vídeo) no ha quedado acreditado” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que el formulario de la web carece de la casilla de aceptación de la política de privacidad de EUROSPIN 2024, S.L en el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 SEGUNDO: Queda constatado que dentro de la política de privacidad de EUROSPIN 2024, S.L se indica expresamente que el interesado no puede ejercer su derecho a la portabilidad de los datos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EUROSPIN 2024, S.L. realiza, entre otros tratamientos, la recogida y conservación de datos personales recabados durante la navegación de su sitio web. La que EUROSPIN 2024, S.L realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. Es por tanto pertinente analizar si el tratamiento de datos personales llevado a cabo por EUROSPIN 2024, S.L es acorde con lo establecido en el RGPD. III Contestación a las alegaciones presentadas En respuesta al acuerdo de inicio, se han presentado alegaciones por EUROSPIN 2024, S.L solicitando que se valore favorablemente las actuaciones de adecuación y transición de la página web emprendidas por “EUROSPIN 2024, S.L.”, así como su compromiso de cumplimiento estricto de la normativa de protección de datos y que se dé por cumplido el requerimiento de las medidas invocadas por la Agencia Española de Protección de Datos. Sin embargo, la parte reclamada afirma que el tratamiento de datos personales “se encuentran en proceso de eliminación” y que no recopilarán datos personales a través de formularios, “salvo que se valore mantener un formulario de contacto”, lo cual es un claro indicador de que las medidas requeridas aún no se han implementado y por tanto no se puede considera como ya ejecutadas. Se afirma además que la entidad está comprometida con la plena adecuación al artículo 13 RGPD, y que “se está valorando la existencia misma de formularios de contacto. En caso de mantenerse alguno, se prevé que cuenten con una casilla de verificación específica y no premarcada de aceptación de la política de privacidad, accesible mediante enlace visible, de forma coherente con los requisitos de transparencia del artículo 13 RGPD.” Por lo tanto, igualmente las medidas requeridas aún no son una realidad sino una mera declaración de intenciones. En último lugar la parte reclamante hace mención al carácter leve y plenamente corregible de las deficiencias observadas, afirmando que “hay una total ausencia de intencionalidad lesiva por parte de “EUROSPIN 2024, S.L.”, y en base a ello afirma que “la información sobre derechos y al eventual uso de formularios de contacto y que finalmente el núcleo de la reclamación inicial (presunto uso indebido de la imagen del reclamante en un vídeo) no ha quedado acreditado”. En este sentido, ha de señalarse que es la Agencia Española de protección de datos quien como órgano de control ha de valorar la gravedad de los hechos que nos ocupa y las actuaciones a realizar por la entidad reclamada para solventar la irregularidad objeto de denuncia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 En el caso que nos ocupa, sin perjuicio de lo manifestado en la reclamación, tal y como se refleja en los hechos probados, han quedado acreditadas ciertas deficiencias en la política de privacidad de EUROSPIN 2024, S.L, lo cual supone una infracción del artículo 13 del RGPD. A pesar de la comisión de dicha infracción, se considera por esta autoridad que la misma no reviste de especial gravedad y, precisamente, por dicho motivo se ha estimado oportuno dirigir el presente apercibimiento. Por otro lado, de las alegaciones recibidas no se desprenden indicios que permitan considerar que las medidas implementadas hasta el momento sean suficiente para atender su solicitud de dar por cumplido el requerimiento de las medidas invocadas por la Agencia Española de Protección de Datos y archivar el presente procedimiento. En consecuencia, junto al apercibimiento se imponen medidas a adoptar en la presente resolución con el fin de adaptarse a los requerimientos exigidos por el artículo 13 del RGPD. IV Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado: artículo 13 del RGPD El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. El artículo 13 del RGPD establece la obligación del responsable del tratamiento de proporcionar al interesado, en el momento en que se obtienen los datos personales, información clara, accesible y completa sobre aspectos esenciales del tratamiento. Este deber de transparencia constituye un elemento esencial para garantizar que el tratamiento se realice de manera leal y lícita, permitiendo a los usuarios conocer de antemano cómo serán tratados sus datos personales y ejercer sus derechos de forma efectiva. En el presente caso, a través de las actuaciones de investigación realizadas, se han encontrado deficiencias relativas a la normativa de protección de datos de carácter personal en el sitio web de EUROSPIN 2024, S.L, ya que su formulario de la web carece de la casilla de aceptación de la política de privacidad en el tratamiento de datos personales. Por tanto, no se habría establecido ningún mecanismo para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 comprobar que la información ha sido accedida por los interesados y, en consecuencia, que, con carácter previo a la recogida, se facilite la información exigida en el artículo 13 del RGPD. De igual forma, se ha constatado que la política de privacidad indica expresamente que el interesado no puede ejercer su derecho a la portabilidad de los datos, pese a tratarse de un derecho reconocido en el artículo 20 del RGPD, entre otros, en aquellos supuestos en los que el tratamiento tenga por base de legitimación el consentimiento. EUROSPIN 2024, S.L señala en la política de privacidad en relación con la base de legitimación que “siempre requerirá el consentimiento para el tratamiento de los datos personales”. No obstante, posteriormente indica que “no puede ejercitar el derecho a la portabilidad de datos”. Esta afirmación vulnera el principio de transparencia, al transmitir al usuario una limitación inexistente y no prevista en la normativa. El responsable del tratamiento está obligado a informar de todos los derechos aplicables, y no puede excluir unilateralmente aquel cuyo ejercicio resulta procedente según las características del tratamiento. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los elementos anteriores son constitutivos de una infracción, imputable a EUROSPIN 2024, S.L por vulneración del artículo 13 del RGPD transcrito anteriormente. IV Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
14. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 (…)
15. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." V Apercibimiento Cuando concurre una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
16. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)”. El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los fundamentos de derecho precedentes, se estima que por la infracción del artículo 13 RGPD anteriormente mencionado procede dirigir a la parte reclamada un apercibimiento, sin perjuicio de lo que resulte de la instrucción. VI Adopción de medidas correctivas La presente resolución establece las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 13 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
17. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se requiere a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 En el presente caso, con esta resolución se requiere que la parte reclamada en el plazo de un mes a contar desde la fecha de ejecutividad de esta resolución finalizadora de este procedimiento acredite ante esta Agencia: - Haber implementado en el formulario de su página web una casilla sobre la aceptación de la política de privacidad, así como la modificación de la información relativa a la exclusión del derecho a la portabilidad de los datos, de acuerdo con lo exigido en el artículo 13 del RGPD. Se advierte que no atender las posibles órdenes de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en los apartados 5 y 6 del su artículo 83, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las infracciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a EUROSPIN 2024, S.L., con NIF B16354235, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5.
18. b)del RGPD. SEGUNDO: ORDENAR a EUROSPIN 2024, S.L., con NIF B16354235, que en virtud del artículo 58.2.
19. d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas siguientes: - Haber implementado en el formulario de su página web una casilla sobre la aceptación de la política de privacidad, así como la modificación de la información relativa a la exclusión del derecho a la portabilidad de los datos, de acuerdo con lo exigido en el artículo 13 del RGPD. TERCERO: NOTIFICAR la presente resolución a EUROSPIN 2024, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 Finalmente, se señala que conforme a lo previsto en el art. 90.3
20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es