PA-00085-2023

1/8  Expediente N.º: EXP202311992 (PA/00085/2023) RESOLUCIÓN DEL PROCEDIMIENTO DE APERCIBIMIENTO De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 10/07/23, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra B.B.B., con NIF.: ***NIF.1 (en adelante, la parte reclamada), titular de la página web ***URL.1, por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales (LOPDGDD). En la reclamación se señala que la web en cuestión no cuenta con “aviso legal” ni información sobre privacidad y protección de datos. Tampoco aparece ninguna información referente al propietario de la misma. El reclamante también manifiesta en su escrito que, aunque en la web no aparece ninguna información referente al propietario de la misma, B.B.B., les envió un contrato donde se indicaba que es gerente de la empresa y su teléfono coincidía con el que aparece en la web. Al escrito de reclamación se acompaña el contrato indicado por el reclamante donde se indica, en el primer párrafo lo siguiente: De una parte, ***EMPRESA.1, con el gerente del departamento comercial B.B.B. ***NIF.1, y domicilio a efectos de notificación del presente contacto. De otra, el cliente. A.A.A.… También aporta una factura por los servicios prestados donde los datos identificativos que aparecen en la misma son: B.B.B. - ***NIF.1 ***DIRECCION.1 ***TELÉFONO.1 ***EMAIL.1 SEGUNDO: Con fecha 12/09/23, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que exponía en el escrito de reclamación. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). Según certificado de la entidad Envialia, el escrito enviado a la parte reclamada el día 12/09/23 fue “Devuelto a Origen por Ausente”, el 19/09/23: 1º Intento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 de entrega el 13/09/23, ha resultado “ausente”. 2º Intento de entrega el 14/09/23 ha resultado “ausente”. Con fecha 15/09/23, se reiteró el traslado de reclamación y solicitud de información a la parte reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 15/09/23, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado de forma automática el 26/09/23. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se reiteró el traslado de reclamación y solicitud de información a la parte reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 26/09/23, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue notificado con fecha 10/11/23. No se ha recibido ningún tipo de información por parte del reclamado al traslado realizado. TERCERO: Con fecha 10/10/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la LPDGDD. CUARTO: Con fecha 01/02/23, esta Agencia accede a la página web ***URL.1 , diligenciando las siguientes características sobre el tratamiento de datos y la “Política de Privacidad” de la misma: - Sobre la posibilidad de obtener datos personales de los usuarios: a).- Se observa que en la web en cuestión existe un enlace, en la parte superior izquierda (<<contacto>>), a través del cual, se despliega un formulario ***URL.1 contacto/ donde el usuario puede introducir datos personales como el nombre, el correo electrónico o el número de teléfono. Para poder enviar el formulario, solamente es necesario cliquear en <<enviar>> En esta página del formulario, existe la siguiente información sobre el titular de la web: Información de contacto: (…) b).- También se pueden introducir datos personales del usuario a través del enlace existente en la parte superior derecha de la página principal <<te llamamos?>>, donde el usuario puede introducir datos personales como el nombre, el correo electrónico o el número de teléfono. - Sobre la información existente en la “Política de Privacidad”: Se observa que no existe ninguna información sobre la “Política de Privacidad” en la web (no existe información sobre el responsable de la misma, no sobre el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 de los datos personales). Tampoco existe ningún enlace que redirija al usuario al “aviso legal” o “Política de Privacidad”. Existe un enlace, tanto en la parte superior de la página web como en la parte inferior de la misma, <<quienes somos>>, a través del cual, se proporciona la siguiente información: “***EMPRESA.1 es una empresa especializada en la fabricación de todo tipo de cerramientos de aluminio y PVC como ventanas abatibles, oscilobatientes, correderas, techos de cristal, techos de panel sándwich, cortinas de cristal etc. … Los trabajos más habituales son los de ventanas abatibles, oscilobatientes y correderas. En ***EMPRESA.1 todos los clientes son importantes, tanto en clientes particulares como clientes profesionales siempre están a su completa disposición. El equipo se compone con todo tipo de personal cualificado (técnicos, operarios, comerciales, personal de oficina) con amplia experiencia su respectivo puesto de trabajo”. QUINTO: Con fecha 25/04/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. El intento de notificación de la incoación de expediente se practicó mediante correo postal certificado en la dirección que aparece en la factura presentada ***DIRECCION.1, conforme a las normas establecidas en la LPACAP. Según certificado del Servicio de Correos la notificación de la incoación del expediente fue “Devuelto a Origen por Sobrante” el 29/05/24, por ausente del reparto y no retirado de la oficina de correos. Con fecha 05/06/24 se realizó la notificación del acuerdo de inicio mediante anuncio en el Tablón Edictal único del Boletín Oficial del Estado, de acuerdo con el artículo 44 de la LPACAP. En dicho anuncio se informa a la parte reclamada sobre la posibilidad de obtener copia del acuerdo de apertura. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna a la incoación del expediente en esta Agencia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran, HECHOS PROBADOS Primero: Junto al escrito de reclamación se presenta el contrato de servicio donde los intervinientes son: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 “De una parte, ***EMPRESA.1, con el gerente del departamento comercial B.B.B. ***NIF.1, y domicilio a efectos de notificación del presente contacto. De otra, el cliente A.A.A.… Se aporta también una factura por los servicios prestados entre los intervinientes del contrato donde los datos identificativos que aparecen en la misma son: “B.B.B. - ***NIF.1 ***DIRECCION.1 ***TELÉFONO.1, ***EMAIL.1” Segundo: Se constata que en la web ***URL.1, existe la posibilidad de obtener datos personales de los usuarios a través de la pestaña de <<contacto>>, donde se despliega una nueva página con un formulario para introducir los datos personales. En este formulario existe la siguiente información sobre el titular de la web: “Información de contacto: (…)” Tercero: Se constata que en la web ***URL.1 no existe “Política de Privacidad” o “Aviso Legal” donde se informe sobre la identidad del responsable de la misma, ni sobre el tratamiento de los datos personales. FUNDAMENTOS DE DERECHO I.Competencia: De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II.Síntesis de los hechos y responsabilidad del tratamiento Según la parte reclamante, la web en cuestión no cuenta con aviso legal ni información sobre privacidad y protección de datos. Tampoco aparece ninguna información referente al propietario de la empresa. No obstante, B.B.B., les envió un contrato donde indicaba que era gerente de la empresa y su teléfono coincidía con el que aparece en la web ***URL.1. Además, en la factura que les proporcionó por los servicios prestados aparece la siguiente información: B.B.B. - ***NIF.1 ***DIRECCION.1 ***TELÉFONO.1 ***EMAIL.1 por lo que, en este caso, se debe considerar a B.B.B. responsable del tratamiento de datos personales III.C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
12. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 aplicables cuando y en la medida en que el interesado ya disponga de la información." IV.Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone se considera que B.B.B., con NIF.: ***NIF.1 es responsable del sitio web ***URL.1 , en el cual, se ha comprobado que se pueden obtener datos personales de los usuarios pero carece de “Aviso Legal” o “Política de Privacidad” donde se informe de los aspectos legales sobre el tratamiento de los datos personales. Estos hechos son constitutivos de una infracción, imputable a B.B.B., según lo dispuesto en el artículo 13 del RGPD, transcrito en el fundamento anterior, lo que supone la comisión de una infracción tipificada en el artículo 83.5.
13. b)del mismo Reglamento, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
14. b)los derechos de los interesados a tenor de los artículos 12 a 22” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de “muy grave” la siguiente conducta: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
15. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. V.Apercibimiento Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
16. b)del artículo 58 lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
17. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendidas las circunstancias que concurren en el presente procedimiento, se estima que por la infracción del artículo 13 del RGPD infringido procede dirigir un apercibimiento a B.B.B., como responsable de la página web ***URL.1, VI.Imposición de medidas por la infracción del artículo 13 del RGPD En este caso, se requiere a B.B.B., como responsable de la página web ***URL.1, para que, en el plazo de dos meses, tome las medidas necesarias para introducir en la misma, a través de una “Política de Privacidad” toda la información a la que se hace referencia en el artículo 13 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: APERCIBIR a B.B.B., con NIF.: ***NIF.1, titular de la página web ***URL.1 , por la infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, respecto a la inexistencia de una “Política de Privacidad” o “Aviso Legal” en la misma. SEGUNDO: ORDENAR a B.B.B., que en el plazo de dos meses, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, respecto del artículo 13 del RGPD, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas. TERCERO: NOTIFICAR el presente acuerdo a B.B.B., C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es