1/9 Procedimiento Nº: PS/00043/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 27 de agosto de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la página web ***URL.1. El motivo en relación con la normativa de protección de datos en que se basa la reclamación es el siguiente: “[…]SEGUNDO: La página indicada no recoge la POLÍTICA DE PRIVACIDAD ni AVISO LEGAL, incumpliendo con la normativa existente (art. 13 del Reglamento de Protección de datos y art. 5 LOPD).” Junto a la reclamación aporta pantallazos de la referida página web. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es B.B.B. con NIF ***NIF.1 ya que la página web reclamada se constituye como plataforma de la candidatura a las elecciones del Colegio Oficial de Licenciados de E.F. y Ciencias de la Actividad Física y el Deporte de la Comunidad de Madrid celebradas en 2019 a las cuales el reclamado se postuló como presidente. TERCERO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado a la dirección profesional que publicita el mismo en internet, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo devuelta por “desconocido” el 20/12/2019. En vista de lo anterior, se solicita a la Agencia Estatal de Administración Tributaria el domicilio fiscal del reclamado, siendo proporcionado el 26/02/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante se observa que la página web contiene un formulario de recogida de datos personales (nombre, teléfono y dirección de correo electrónico) de aquellas personas que estuvieran interesadas en el proyecto liderado por el reclamado. Consultada con fecha 24 de febrero de 2020 la página web ***URL.1, se verifica que la web sigue abierta y mantiene la situación puesta de manifiesto en la reclamación presentada el 27 de agosto de 2019 por A.A.A. QUINTO: Consultada con fecha 25 de febrero de 2020 la aplicación de la AEPD se verifica que el único procedimiento sancionador en el que aparece como reclamado la mercantil B.B.B. con NIF ***URL.1, es el presente procedimiento. SEXTO: Con fecha 6 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 20 de marzo de 2020, en las que manifestaba que: “[…] Primera. - Que en ningún momento esta parte ha tenido intención de incumplir con la normativa reguladora de la Protección de Datos. Segunda. Que nada más recibir el acuerdo de inicio que da lugar a las presentes alegaciones, por mi parte se puso fin al tratamiento de datos, eliminando el formulario y aquellos datos que se habían recogido por este medio. Tercera. - Dicho lo anterior, merece la pena destacar que esta parte había elaborado el oportuno formulario donde se daba cumplimiento a lo exigido en el RGPD, pero al parecer por error informático del que no fuimos advertidos por nadie, pudo producirse la situación que se me imputa. Insistir en la falta de intencionalidad por mi parte en la comisión de los hechos. […]” OCTAVO: Con fecha 12 de junio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas la reclamación presentada por el reclamante y su documentación, los documentos obtenidos por la Subdirección General de Inspección de Datos y las alegaciones presentadas por el reclamado. NOVENO: En fecha 5 de agosto de 2020 se accede a la página web ***URL.1 con objeto de comprobar lo manifestado por el reclamado en sus alegaciones. DÉCIMO: Con fecha 18 de septiembre de 2020 se formuló propuesta de resolución, proponiendo se imponga al reclamado una sanción de apercibimiento, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la misma norma. El reclamado no ha presentado alegaciones a esta propuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: La página web ***URL.1 me dispuso de un formulario de recogida de datos personales de posibles personas interesadas en el proyecto de candidatura a las elecciones a las elecciones del Colegio Oficial de Licenciados de E. F. y Ciencias de las Actividades Físicas y del Deporte de Madrid celebradas el 6 de septiembre de 2019 sin disponer de Política de Privacidad. SEGUNDO: Consta como principal responsable B.B.B. con NIF ***NIF.1. TERCERO: El reclamado asevera que ha retirado el mencionado formulario y puesto fin al tratamiento de datos. CUARTO: Consta acreditado, tras la comprobación realizada el día 4 de agosto de 2020, que el formulario de recogida de datos ha sido efectivamente retirado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD, que considera como tal: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
- b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de la infracción, el artículo 72.1 de la LOPDGDD establece: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y, en particular, las siguientes: […]
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679. […]”. III De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que la página web www.unionccafyde.site123.me, responsabilidad del reclamado, mantuvo un formulario de recogida de datos personales sin proporcionar en modo alguno la información que establece el artículo 13 del RGPD. Por lo que se refiere a las alegaciones presentadas por el reclamado —en las que señala que no había existido intencionalidad por su parte el formulario había sido originalmente diseñado dando cumplimiento a los dispuesto en el RGPD y que por un error informático habían acaecido los hechos objeto del presente procedimiento (sin aportar prueba al respecto)—, es preciso señalar que el artículo 5.1.
- a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: «Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fác8il de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.» El Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que «Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]». En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. A su vez, el artículo 11 LOPDGDD introduce la regla de información por capas cuando dispone: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
- a)La identidad del responsable del tratamiento y de su representante, en su caso.
- b)La finalidad del tratamiento.
- c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. […]» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Establecido así el deber de información y la obligación, por parte del responsable de llevar a cabo un tratamiento transparente, no puede desconocerse que el artículo 5.2 del RGPD establece que «el responsable del tratamiento será responsable del cumplimiento de los dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que, de acuerdo con los artículos 24 y 25 del mismo texto legal, el responsable deberá garantizar la aplicación efectiva de los principios del tratamiento tanto en el momento de determinar los medios del tratamiento como durante el tratamiento en sí a través de la articulación de una serie de medidas, las cuales serán deberán ser objeto de revisión y actualización periódica. Siendo así las cosas, y aun cuando en el caso presente el reclamado hubiera procedido, en el momento de determinación de los medios a diseñar e implementar unas medidas acordes a garantizar el cumplimiento del principio de transparencia y del deber de información, ello no le eximiría de seguir siendo responsable de la efectividad de dichas medidas durante todo el tiempo en que se hubiera producido la recogida y tratamiento de los datos personales, máxime cuando en este caso no ha existido un encargo del tratamiento a otros actores. IV Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Asimismo, sin perjuicio de lo dispuesto en el artículo 83, el citado RGPD dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.» En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta los siguientes elementos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Que se trata de una persona física cuya actividad principal no está vinculada con el tratamiento de datos personales. Que no se aprecia reincidencia, por no constar la comisión de infracciones anteriores. Por todo ello, se considera que la sanción que correspondería imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
- b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a B.B.B. e informar a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es