1/4 Procedimiento Nº: PS/00062/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00062/2021, instruido por la Agencia Española de Protección de Datos a D. A.A.A., con NIF.: ***NIF.1 (en adelante, “la persona reclamada”), titular de la página web: ***URL.1, en virtud de la reclamación presentada por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 01/03/20, se recibió en esta Agencia escrito remitido por D. B.B.B., (en adelante, “la persona reclamante”), en el cual, indicaba: “En la web ***URL.1 no aparecen los datos de los responsables de ficheros de datos, ni aparece una política de privacidad ni el aviso legal contiene los datos correspondientes”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 08/06/20, se dirige requerimiento informativo a la persona reclamada. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 08/06/20, a través del servicio de SICER, fue devuelto a origen con el mensaje de “ausente” el día 15/06/20. TERCERO: por parte de esta Agencia, se realizan comprobaciones sobre la Política de Privacidad, Aviso Legal de la página web denunciada, ***URL.1, comprobándose las siguientes características al respecto: A).- Sobre el tratamiento de datos personales en la página web: En la página inicial, a través del enlace <<contacto>>, situado en la parte inferior de la misma, se redirige a un formulario, ***URL.2, donde se recogen datos personales de los usuarios, como el nombre y email. Antes de poder enviar el formulario, el usuario debe aceptar la <<política de privacidad>>” B).- Sobre la “Política de Privacidad” de la página web: A través del enlace <<Política de Privacidad>>, existente en la página de contacto indicada anteriormente, así como en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.3, se proporciona información sobre el responsable y titular del sitio web (titular, CIF, domicilio, actividad, y correo electrónico); sobre la seguridad de los datos personales obtenidos de los usuarios; Sobre las condiciones de uso de la página web; se informa sobre el proceso de baja en la suscripción y sobre los derechos de revocación; se informa de los terceros con quien comparte los datos personales y donde se encuentra alojada la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 No obstante, sobre la base legal a la que se ajusta la web se indica que: “la página se ajusta al RGPD; a la ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y Real Decreto 1720/2007, de 21 de diciembre, el Reglamento de desarrollo de la LOPD y a la LSSI Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico”. CUARTO: Con fecha 19/02/21, la Directora de la Agencia Española de Protección de Datos acordó abrir procedimiento sancionador por incumplimiento a lo estipulado en el artículo 13 del RGPD con una sanción de “apercibimiento”, respecto de a la política de privacidad en la página web. SEXTO: Notificado el acuerdo de inicio, la persona reclamada, no se ha recibido ningún escrito de alegaciones a la incoación del expediente, en el periodo concedido al efecto. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Según se indica en la reclamación, en la ***URL.1 no aparecen los datos de los responsables, ni aparece la política de privacidad ni el aviso legal contiene los datos correspondientes. 2º.- Según ha podido comprobar esta Agencia, la web en cuestión puede recoger datos personales de los usuarios, como el nombre y email. En su “Política de Privacidad”, la información que proporciona está referida a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y al Real Decreto 1720/2007, de 21 de diciembre, el Reglamento de desarrollo de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). II El art 64.2.
- f)de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, (LPACAP), dispone que: “
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
- f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
- f)de la LPACAP, el acuerdo de inicio es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III Se denuncia que, “la web no cumple la normativa vigente en cuanto a Protección de Datos en su Política de Privacidad”. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue, “a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)” y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18, quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.
- h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”, por lo que, la sanción que debe corresponder es de apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a D. A.A.A., con NIF.: ***NIF.1 (en adelante, “la persona reclamada”), titular de la página web: ***URL.1 por infracción de artículo 13, del RGPD, en lo que respecta a la “Política de Privacidad” de su página web. QUE: de conformidad con el artículo 58.2 del RGPD, la medida correctiva que se debe imponerse a D. A.A.A. consiste en ORDENARLE que, en el plazo de un mes, a contar desde la notificación de esta resolución, tomase las medidas necesarias para adecuar la política de privacidad a lo estipulado en la normativa vigente, esto es, al RGPD y a la LOPDGDD. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es