← España

PS-00062-2020

1/16  Procedimiento Nº: PS/00062/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A.(en adelante, el reclamante) con fecha 20 de marzo de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PREDASE SERVICIOS INTEGRALES SOCIEDAD LIMITADA con NIF B02547164 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “[….] SEGUNDO. - En la página de Internet con el nombre de dominio «www.predase.es», y bajo el nombre comercial «PREDASE», se ofrecen, entre otros, servicios de cumplimiento normativo en el ámbito del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018. […] TERCERO. - Desplazando hacia abajo la barra lateral del navegador en la página de inicio, se tiene acceso a diversos enlaces relacionados con la presencia en distintas redes sociales de Internet de la persona física o jurídica que actúa bajo el nombre comercial «PREDASE». En relación con los servicios de protección de datos, sobresale, en el margen izquierdo de la pantalla, la imagen de un candado que incluye la leyenda «RGPD / LOPD», […] CUARTO. - Al hacer clic en la imagen del referido candado, se enlaza a una publicación en el perfil público de «PRÉDASE» en la red social Google+, en la cual aparece un cuadrilátero que agrupa los símbolos gráficos de «PRÉDASE» y de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, sin distinguir entre los mismos, y agregándose al conjunto los datos de contacto de la persona física o jurídica que actúa bajo dicho nombre comercial. […] SEXTO.- En tal sentido, la agrupación de los símbolos gráficos de «PRÉDASE» y de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, considerados como un todo homogéneo dentro de un mismo cuadrilátero, sin distinguir entre sus componentes, y agregando al conjunto los datos de contacto de la persona física o jurídica que actúa bajo dicho nombre comercial, podría ser constitutiva de un hecho ilícito consistente en generar «la apariencia de que se está actuando en nombre, por cuenta o en colaboración con la Agencia Española de Protección de Datos», en relación con la publicación o comunicación indiscriminada de su oferta de servicios en materia de protección de datos a toda su red de contactos en la red social Google+ y a cualesquiera responsables y encargados de los tratamientos que visiten su página de Internet con la finalidad de contratar servicios profesionales de cumplimiento normativo en este ámbito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 SÉPTIMO. - En su consecuencia, esta presunta utilización engañosa e ilegítima del símbolo gráfico de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS puede suponer una práctica agresiva en materia de protección de datos, generando la imagen de un falso aval de la citada autoridad de control en relación con los servicios ofrecidos por la persona física o jurídica que actúa bajo el nombre comercial «PRÉDASE». OCTAVO. - Dicha práctica tiene su supuesta continuación en una segunda actuación que presuntamente podría incurrir en la letra

  1. c)de la Disposición adicional decimosexta de la Ley Orgánica 3/2018, que considera práctica agresiva en materia de protección de datos la realización de «prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales»: “No puede ser verdad!!!!! Aún no estas adaptado al nuevo reglamente general de protección de datos (RGPD). NO esperes a que te sancionen, infórmate en C/ ***DIRECCIÓB.1 o ***URL.1” […] NOVENO.- Como corolario de lo hasta aquí expuesto, los hechos y elementos fácticos relacionados en el presente escrito podrían suponer una presunta conjunción de prácticas agresivas en materia de protección de datos, mediante una injerencia indebida no solo en la imagen y competencias de la Agencia Española de Protección de Datos, sino también en la autonomía de la voluntad de los responsables y encargados de los tratamientos, a través de una presunta distorsión del espíritu de las normas jurídicas en materia de protección de datos. DÉCIMO. - La página de Internet con el nombre de dominio «***URL.1» no facilita la información general que establece el artículo 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Así mismo, pese a que dispone de un formulario de recogida de datos personales, tampoco provee de una política de privacidad con la finalidad de dar cumplimiento con lo establecido en los artículos 12 (derecho de transparencia) y 13 (derecho de información) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).” Junto a la reclamación aporta capturas de pantalla de la web, de la red social Google+ y de Facebook a efectos probatorios de lo señalado en el escrito. Asimismo, incorpora copia de la Escritura de Acata Notarial otorgada ante el notario de la ciudad de ***LOCALIDAD.1, D. B.B.B., en fecha 18 de marzo de 2019, Protocolo N.º 620, del contenido de la página web que conduce al perfil de PREDASE en la red social GOOGLE+. SEGUNDO: El día 23 de abril de 2019 se realizan diligencias en esta Agencia para hacer constar que, tras un análisis de la página web que constituye el objeto de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 reclamación (www.predase.es), no dispone la misma de identificación de su responsable ni de información en materia de política de privacidad. TERCERO: La reclamación fue admitida a trámite el 29 de abril de 2019. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, el informe elaborado por el inspector actuante pone de manifiesto lo siguiente:  “En cuanto al hecho de la utilización del logotipo de esta Agencia conjuntamente con el logotipo e información de contacto de PREDASE, este queda constatado mediante la escritura de acta notarial presentada por el reclamante del contenido de la página web que conduce al perfil de PREDASE en la red social GOOGLE+ done aparecen agrupados, y como un todo, el logotipo de PREDASE, el logotipo de esta Agencia, la bandera europea, y la información de contacto de PREDASE.  Con respecto al hecho denunciado de la publicación en la red social FACEBOOK y lo señalado en la reclamación según la disposición adicional decimosexta, letra
  2. c)que establece práctica agresiva en materia de protección de datos: “Realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales”. Se constata que en el perfil de FACEBOOK de PREDASE, con fecha de 12 de marzo de 2019, se publicó el siguiente contenido: “No puede ser verdad!!!!! Aún no estas adaptado al nuevo reglamente general de protección de datos (RGPD). NO esperes a que te sancionen, infórmate en C/ ***DIRECCIÓN.1 o ***URL.1.” Aún a fecha de este informe se tiene acceso a esta publicación. Se graba diligencia en el sistema SIGRID con la impresión de pantalla de la publicación. También se comprueba que el sitio web de PREDASE, una empresa de asesoramiento, entre otras cuestiones, sobre protección de datos, carece de política de privacidad y recoge datos en su formulario de contacto sin que sea necesario la aceptación del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Se graba en el sistema SIGRID diligencia con la única página de contenido del sitio web. Tampoco se informa de la titularidad del sitio web tal y como señala el artículo 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, haciendo mención como razón social a la marca comercial PREDASE  Con fecha de 28 de junio de 2019 se recibe en esta Agencia, con número de registro 032629/2019, escrito remitido por ORANGE ESPAGNE, S.A.U. informando que la titularidad de la línea ***TELÉFONO.1 que aparece en el sitio web corresponde a C.C.C., con DNI ***NIF.1 y domicilio de instalación en la calle ***DIRECCIÓN.1, ***LOCALIDAD.1.  Realizada una búsqueda en el Registro Mercantil Central se ha encontrado la sociedad PREDASE SERVICIOS INTEGRALES SOCIEDAD LIMITADA, con domicilio coincidente con el que aparece en el sitio web denunciado y en la que el titular del teléfono de contacto que aparece en el sitio web consta como administrador único. Se graba en el sistema SIGRID, como objeto asociado, informe del Registro Mercantil Central.  Por todo lo expuesto, se puede afirmar que los hechos denunciados son ciertos y que la sociedad responsable del sitio web referido en la reclamación es PREDASE SERVICIOS INTEGRALES SOCIEDAD LIMITADA.” QUINTO: Consultada con fecha 10 de marzo de 2020 la aplicación de la AEPD se verifica que el único procedimiento sancionador en el que aparece como reclamado la mercantil PREDASE SERVICIOS INTEGRALES SOCIEDAD LIMITADA con NIF B02547164, es el presente procedimiento. SEXTO: Con fecha 17 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la citada norma. SÉPTIMO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 25 de junio de 2020 donde solicitaba el archivo del procedimiento sancionador y ponía de manifiesto lo siguiente: “[…] Respecto al formulario de datos no se encuentra operativo (ni lo ha estado nunca). De hecho, se trata de un añadido de una plantilla a fin de utilizar el estilo "azul popup" del formulario de contacto. Puede ver que no muestra mensaje de error alguno en caso de no introducir datos (o hacerlo erróneamente), ni tampoco mensaje satisfactorio en caso de envío. Tan sólo redirige directamente a la pantalla de inicio. Basta notar que si dicho formulario fuera funcional y operativo no se habría indicado la dirección de correo electrónico a la izquierda del mismo (puesto que sería redundante e innecesario).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 […]” OCTAVO: Con fecha 10 de agosto de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos, a efectos probatorios la reclamación interpuesta por el reclamante, los datos obtenidos y generados por la Subdirección General de Inspección de Datos y las alegaciones presentadas por el reclamado. Al no haberse podido notificar esta apertura de período de práctica de pruebas, por expiración de la notificación electrónica, el día 1 de septiembre de 2020 se remitió una reiteración del documento que fue notificada el mismo día 1. NOVENO: El día 5 de octubre de 2020, se incorporan al expediente las comprobaciones realizadas los días 21, 25 y 29 de septiembre y 5 de octubre de 2020 en la web www.predase.es. DÉCIMO: Con fecha 19 de octubre de 2020 se formuló propuesta de resolución, proponiendo se impusiera al reclamado una sanción de apercibimiento, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la misma norma. En esta propuesta se concedía un plazo de 10 días para que el reclamado pudiera alegar cuanto considerase en su defensa, así como presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). La propuesta de resolución fue notificada el día 30 de octubre y el reclamado presentó escrito de alegaciones el día 13 de noviembre, manifestando lo siguiente: “[…] PRIMERO: En los puntos TERCERO, CUARTO y SEXTO (ya que no aparece el punto QUINTO) de la denuncia, interpreta la supuesta unión de los logotipos de PRÉDASE y de la AEPD como un intento de asociación de cara a los potenciales clientes. Partiendo de que se trata de una mera cuestión de organización estructural del diseño web y gráfico, cualquier persona mínimamente informada sabe distinguir entre la Agencia Española de Protección de Datos y una empresa prestadora de servicios (llámese PRÉDASE, AUDIDAT o cualquier otra). Como bien indica el denunciante y aparece, claramente en mayúsculas, en la cabecera de dicha web, dicha imagen pertenece a las REDES SOCIALES de la empresa (no a los servicios prestados, presupuestos, facturas, ni ningún otro documento de carácter público que pudiera, efectivamente, implicar un uso indebido del logo de la AEPD). Efectivamente dicha publicación se realizó el 12 de Marzo de 2019 y el enlace corresponde a la red social Google+, que no está operativa desde el 2 de Abril de 2019 (fue cancelada por Google en dicha fecha). Siguiendo su razonamiento retorcido y personal, el uso de los logotipos de Facebook, Google o Twitter también implicaría un engaño a cualquier cliente que visitara su sitio web al dar lugar al equivoco de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 PRÉDASE (como en su caso AUDIDAT) forman parte o actúan en nombre de dichas empresas. SEGUNDO: Nuevamente en los puntos SÉPTIMO, OCTAVO y NOVENO el denunciante vuelve a atribuirse competencias judiciales ( que rozan la injuria y la calumnia ) al tachar directamente de "engañosa, ilícita, imagen de falsa autoridad, prácticas agresivas o de coartar la capacidad de decisión" ( puesto que el uso del adjetivo "presunto" antecediendo todas estas lindeces no rebaja lo más mínimo ni resta gravedad a sus acusaciones ) lo que en cualquier empresas se trata una simple campaña publicitaria en redes sociales. TERCERO: En referencia al supuesto incumplimiento del Art. 10 de la Ley34/2002 de 11 de Julio, como bien habrá podido comprobar (y según asegura tiene capturas de pantalla 'fedatadas' ante Notario) todos los datos de contacto: Nombre (comercial), dirección, teléfono y email están claramente visibles. No siendo obligatoria para un autónomo (denominación bajo la que operaba la empresa en el momento de su denuncia) la inscripción en el Registro Mercantil. No obstante, y como puede ver en documento adjunto (“Metadatos ***METADATOS.1”) y a pesar de no ser obligatorio, una simple búsqueda en los metadatos de la web (y por tanto accesible públicamente en cualquier buscador o navegador web) si aparecen los datos del propietario "C.C.C. - ***NIF.1" bajo el "meta tag" ***META TAG.1. Respecto al formulario de datos y como también habrá podido Vd. comprobar en su intachable labor detectivesca, no se encuentra operativo (ni lo ha estado nunca). De hecho, se trata de un añadido de una plantilla a fin de utilizar el estilo "azul popup" del formulario de contacto. Puede ver que no muestra mensaje de error alguno en caso de no introducir datos (o hacerlo erróneamente), ni tampoco mensaje satisfactorio en caso de envío. Tan sólo redirige directamente a la pantalla de inicio (espero haya dejado esto también debidamente registrado en escritura pública notarial). Basta notar que si dicho formulario fuera funcional y operativo no se habría indicado la dirección de correo electrónico a la izquierda del mismo (puesto que sería redundante e innecesario). CUARTO: Los hechos denunciados deben considerarse prescritos en base a los apartados 1 y 2 del Art. 30 de la Ley 40/2015 de 1 de Octubre, de Régimen Jurídico del Sector Público, por tanto aplicable a la AEPD, en cuanto a la prescripción de las infracciones: 1. Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan. Si éstas no fijan plazos de prescripción, las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses; las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Por todo lo anterior SOLICITAMOS: Que desde la Agencia Española de Protección de Datos SE ARCHIVE LA DENUNCIA en base tanto a la falta de veracidad de los hechos denunciados, como a la prescripción de los plazos desde la fecha de la denuncia. POR ÚLTIMO: Desde PRÉDASE SERVICIOS INTEGRALES S.L. (actual razón social de la empresa) desconocemos la motivación del denunciante ante los hechos arriba expuestos. Únicamente entendible bajo el afán de amedrentar e intentar eliminar a la competencia mediante denuncias y actuaciones "chuscas y barriobajeras" como la inspección detallada de nuestro sitio web (que por cierto, estamos actualizando conjuntamente con la empresa informática, a fin de subsanar el más mínimo error). En su afán por desacreditarnos o de que desistamos en la prestación de nuestros servicios, el Sr. A.A.A. ( en representación de AUDIDAT ) demuestra una manifiesta incompetencia en su denuncia al ser incapaz de localizar nuestra dirección postal a la que dirigir la denuncia, la cual se encontraba claramente indicada en la misma web objeto de su denuncia ( obligando de esta forma a la AEPD a recurrir a Orange Espagne SAU a facilitar una dirección que desconocemos en absoluto y que nada tiene que ver con nuestra mercantil ).” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 HECHOS PRIMERO: PREDASE SERVICIOS INTEGRALES S.L. es una empresa de asesoramiento en diversas materias como prevención de riesgos laborales, protección de datos o seguros que disponía de la página web en internet ***URL.1. SEGUNDO: La web disponía de un apartado de contacto para potenciales interesados en sus servicios, incluyendo en dirección, teléfono, correo electrónico y un formulario de recogida de datos. TERCERO: La página web carecía de política de privacidad y no proporcionaba la información regulada en el artículo 13 del RGPD, como se puso de manifiesto en las actuaciones previas de investigación practicadas. CUARTO: El reclamado manifiesta que el formulario no estaba operativo y que por esa razón se facilitaba la dirección de correo electrónico. QUINTO: La web no se encuentra accesible en las comprobaciones efectuadas los días 21, 25 y 29 de septiembre y 5 de octubre de 2020 ya que devuelve un error de acceso por denegación de permiso del servidor (Error 403) y objeto no encontrado (Error 404 adicional). SEXTO: La web continúa no accesible en las comprobaciones efectuadas los días 8 y 12 de enero de 2021, devolviendo el mismo error señalado en el hecho anterior. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. b)los datos de contacto del delegado de protección de datos, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16
  5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  12. d)el derecho a presentar una reclamación ante una autoridad de control;
  13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  14. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD, que considera como tal: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
  15. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de la infracción, el artículo 72.1 de la LOPDGDD establece: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y, en particular, las siguientes: […]
  16. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679. […]”. III El presente procedimiento sancionador tiene su origen, como se señaló en el acuerdo de inicio y se reiteró en la propuesta de resolución, en la ausencia de política de privacidad de la página web www.predase.es. Por lo que se refiere a los reclamaciones relativas a prácticas agresivas en materia de protección de datos (concretamente encuadrables en la letras
  17. b)y
  18. c)de la disposición adicional decimosexta de la LOPDGDD: «generar la apariencia de que se está actuando en nombre, por cuenta o en colaboración con la Agencia Española de Protección de Datos o una autoridad autonómica de protección de datos en la realización de cualquier comunicación a los responsables y encargados de los tratamientos en que la remitente ofrezca sus productos o servicios» y «realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos personales», respectivamente), se significa que su regulación se lleva a cabo por la Ley 3/1991, de 10 de enero, de Competencia Desleal, no ostentando la Agencia Española de Protección de Datos competencias en dicha materia. “El artículo 5 del RGPD, relativo a los principios del tratamiento de datos personales enuncia en su letra a el de «licitud, lealtad y transparencia», principio en el que a su vez incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fác8il de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que «Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]». En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. A su vez, el artículo 11 LOPDGDD introduce la regla de información por capas cuando dispone: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16
  19. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  20. b)La finalidad del tratamiento.
  21. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. […]”. En relación con lo expuesto, los hechos probados evidencian que la página web disponía de un apartado de contacto para potenciales cliente en el que se incluía el teléfono, un correo electrónico y un formulario de recogida de datos, sin que constase ningún apartado que proporcionara la información que, conforme al artículo 13 del RGPD, debe proporcionarse acerca del tratamiento de datos susceptible de generarse al proporcionar daos personales a través de alguno de los medios de contacto referidos. Por lo que se refiere a la alegación del reclamado formulada en el escrito de contestación de 25 de junio de 2020 al acuerdo de inicio, en el sentido de que el formulario no se encontraba operativo y que al no recoger datos de manera efectiva se indicaba al lado la dirección de correo electrónico, no se ha podido comprobar la veracidad de dicha afirmación acerca de la funcionalidad del citado formulario al no ser posible el acceso a la página web en las comprobaciones efectuadas. Ahora bien, el hecho de que el formulario no haya estado operativo, no obsta para que la página web deba cumplir con el deber de información establecido en el artículo 12 del RGPD y concretado en el posterior artículo 13 para las situaciones en que la información se obtiene del interesado, ya que la recogida de datos personales es susceptible de realizarse también mediante el resto de medios de contacto publicados (y particularmente, como señala el propio reclamado, mediante la dirección de correo electrónico que se ha indicado supliendo la falta de funcionalidad del formulario). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Y en lo que respecta a las alegaciones presentada por el reclamado a la propuesta de resolución, y que se objetivan en la supuesta prescripción de la infracción imputada y en la manifestación de que la página web se encuentra en proceso de actualización, se señala lo siguiente:  Respecto a la posible prescripción de la infracción, el reclamado alega que sería aplicable los dispuesto en el artículo 30 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público (en adelante, LRJSP) y que los hechos denunciados deben considerarse prescritos ya que, según el subrayado que acompaña a este escrito, el reclamado parece entender que la infracción imputada se consideraría leve (y prescribiría a los 6 meses) y que el plazo comenzaría a computarse desde el día en que se hubiera cometido. Estos argumentos no pueden acogerse por varios motivos: 1. El artículo 30.1 de la LRJSP dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan. […]”. En este sentido, la LOPDGDD cuenta con un Título, el IX, dedicado al régimen sancionador. Dentro de este título, el artículo 71 establece que constituyen infracciones los actos y conductas tipificados en el artículo 83, apartados 4, 5 y 6 del RGPD así como los contrarios a la propia LOPDGDD y dedica los artículos 72 a 74 a determinar una gradación de las infracciones en muy graves, graves y leves instituyendo el plazo de prescripción para cada uno de los niveles. Por lo tanto, el plazo de cómputo de prescripción aplicable será el dispuesto en la LOPDGDD. 2. La infracción imputada se subsume, a estos efectos de prescripción, en el artículo 72.1.
  22. h)de la LOPDGDD y en este artículo se especifica que se considera muy grave y que prescribirá a los 3 años. Así se refleja en el Fundamento Jurídico V del acuerdo de inicio y se recuerda en el Fundamento Jurídico II de la propuesta de resolución. 3. Por lo que se refiere al momento del inicio del cómputo del plazo de prescripción, la LOPDGDD no establece ningún régimen específico, por lo que en este punto sí es aplicable lo dispuesto en el artículo 30.2 de la LRJSP con carácter supletorio. Pues bien, acudiendo a este artículo, se observa que se realiza una distinción entre infracciones de comisión “única” o continuada. Teniendo en cuenta la naturaleza de la infracción imputada, parece claro que la omisión del deber de proporcionar la información se mantuvo, cuando menos, hasta la fecha del 7 de febrero de 2020, día en que se realiza la diligencia acerca de la página web que se menciona en el informe de actuaciones previas de inspección que se ha recogido en el Antecedente cuarto. Asimismo, este plazo de prescripción habría quedado interrumpido por la notificación del acuerdo de inicio, tal y como dispone el artículo 75 de la LOPDGDD. En conclusión, por tanto, en el supuesto más favorable para el reclamado el plazo de prescripción de 3 años habría comenzado el día 7 de febrero de 2020, quedando interrumpido el día 5 de junio de 2020, fecha en la que tuvo lugar la notificación efectiva del acuerdo de inicio del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16  Por lo que se refiere a la manifestación del reclamado de que la página web está en actualización para subsanar los posibles errores, no es posible verificar la misma, ya que, como se ha reflejado en el hecho probado sexto de esta resolución, la mencionada web (***URL.1) no se encuentra disponible. El resto de las alegaciones no se toman en consideración por cuanto no versan sobre el objeto del presente procedimiento sancionador. IV Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  23. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. IV A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. A efectos de fijar la sanción a imponer al reclamado, se estima como concurrente las siguientes circunstancias agravantes: 1. La intencionalidad o negligencia en la infracción (artículo 83.2.
  24. a)RGPD) ya que se trata de una empresa que ofrece asesoramiento, entre otros temas en materia de protección de datos, lo que hace exigible una mayor diligencia en el cumplimiento de las obligaciones de la materia respecto a la que dice asesorar. 2. El carácter continuado de la infracción (artículo 76.2.
  25. a)LOPDGDD), ya que la reclamación presentada es de fecha 20 de marzo de 2019 y la diligencia de las actuaciones previas de inspección que corrobora el mantenimiento de la situación en la web www.predase.es se ha llevado a cabo el 7 de febrero de 2020. Por otra parte, se han tenido asimismo en cuenta las siguientes circunstancias atenuantes: 1. No consta la comisión de ninguna infracción previa en materia de protección de datos por parte del reclamado (artículo 83.2.
  26. e)RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 2. Se trata de una micropyme a efectos de lo dispuesto en la Recomendación de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas. En base a lo anterior, procede proponer una sanción de CINCO MIL EUROS (5.000,00 €). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PREDASE SERVICIOS INTEGRALES S. L., con NIF B02547164, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de CINCO MIL EUROS (5.000,00 €). SEGUNDO: NOTIFICAR la presente INTEGRALES S.L. e informar a A.A.A.. resolución a PREDASE SERVICIOS TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.