PS-00067-2021

1/5  Procedimiento Nº: PS/00067/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00067/2021, instruido por la Agencia Española de Protección de Datos a la entidad, TECNOLOGIA EXTREMEÑA DEL LITIO, S.L. con CIF.: B87667861, titular de la página web: www.sanjosevaldeflorez.es, en virtud de las reclamaciones presentadas por la presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Se han recibido en esta Agencia, 16 escritos remitidos por los reclamantes indicados en el anexo, entre el 04/10/19, y el 09/10/19, donde se indicaba que: “La entidad reclamada ha creado una página web: www.sanjosevaldeflorez.es, en cuya parte superior aparece la palabra “Contacto”, en la cual se puede rellenar un formulario de contacto. No aparece mayor mención al tratamiento de los datos personales, ni en este ni en ningún otro lugar de la página”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 15/11/19 y 26/11/19, se dirige sendos requerimientos informativos a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 15/11/19 a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino el día 26/11/19. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 26/11/19, a través del servicio de SICER, fue devuelto a origen con el mensaje de “desconocido”, el día 20/12/19. TERCERO: por parte de esta Agencia, se realizan comprobaciones sobre la Política de Privacidad, Aviso Legal de la página web denunciada, www.sanjosevaldeflorez.es, comprobándose las siguientes características al respecto: A).- Sobre el tratamiento de datos personales en la página web: En la página inicial, a través del enlace <<contacto>>, situado en la parte superior de la misma, la web redirige a un formulario, https://sanjosevaldeflorez.es/contacto/ , donde se recogen datos personales de los usuarios, como el nombre y email. En la misma página de contacto, existe información sobre la identidad del responsable de la página web: “TECNOLOGÍA EXTREMEÑA DEL LITIO, S.L; C/ Juan de la Cierva, 18; Polígono Industrial Mejostilla; 10004 CÁCERES – España”. B).- Sobre la “Política de Privacidad” de la página web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 A través del enlace <<Política de Privacidad>>, existente en la parte inferior de la página de principal, la web redirige a una nueva página, https://sanjosevaldeflorez.es/politica-privacidad/ que proporciona información sobre la identificación del responsable de la página web; sobre la finalidad, la legitimación y las categoría de los datos recabados; sobre el consentimiento al tratamiento; sobre el cumplimiento de la normativa de aplicación; las medidas de seguridad; el ejercicio de derechos que asisten a los usuarios; los links o enlaces externos existentes en la página web; la modificación de la política de privacidad; el responsable del fichero y encargados del tratamiento; los servicios ofrecidos por terceros en la web; la revocación del consentimiento; los sistemas de captura de datos personales y sobre los “plugins sociales”. No obstante, sobre la normativa aplicada a la página web, se indica que: “Tecnología Extremeña del Litio, SL. cumple con las directrices de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, el Real Decreto 1720/2007 de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de dicha Ley Orgánica y demás normativa vigente y de aplicación en cada momento, velando por garantizar un correcto uso y tratamiento de los datos personales del usuario. A partir del 25 de mayo de 2018, nos regiremos por la normativa que entrará en vigor, siendo el Reglamento General sobre Protección de Datos (RGPD) de la Unión Europea. Asimismo, Tecnología Extremeña del Litio, SL. informa que da cumplimiento a la Ley 34/2002 de 11 de julio, de Servicios de la Sociedad de la Información y el Comercio Electrónico y le solicitará su consentimiento al USUARIO para el tratamiento de su correo electrónico con fines comerciales en cada momento”. CUARTO: Con fecha 19/02/21, la Directora de la Agencia Española de Protección de Datos acordó abrir procedimiento sancionador por incumplimiento a lo estipulado en el artículo 13 del RGPD con una sanción de “apercibimiento”, respecto de a la política de privacidad en la página web. SEXTO: Notificado el acuerdo de inicio, la persona reclamada, no se ha recibido ningún escrito de alegaciones a la incoación del expediente, en el periodo concedido al efecto. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Según se indica en las reclamaciones, en la web, www.sanjosevaldeflorez.es no aparece mención al tratamiento de los datos personales. 2º.- Según ha podido comprobar esta Agencia, la web en cuestión puede recoger datos personales de los usuarios, como el nombre y email. En su política de privacidad se proporciona información sobre la identificación del responsable de la página web; sobre la finalidad, la legitimación y las categoría de los datos recabados; sobre el consentimiento al tratamiento; sobre el cumplimiento de la normativa de aplicación; las medidas de seguridad; el ejercicio de derechos que asisten a los usuarios; los links o enlaces externos existentes en la página web; la modificación de la política de privacidad; el responsable del fichero y encargados del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 los servicios ofrecidos por terceros en la web; la revocación del consentimiento; los sistemas de captura de datos personales y sobre los “plugins sociales”. No obstante, dicha política de privacidad hace referencia a la derogada Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, el Real Decreto 1720/2007 de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de dicha Ley Orgánica. FUNDAMENTOS DE DERECHO I Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). II El art 64.2.

1. f)de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, (LPACAP), dispone que: “
2. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
3. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
4. f)de la LPACAP, el acuerdo de inicio es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III Se denuncia que, “la web no cumple la normativa vigente en cuanto a Protección de Datos en su Política de Privacidad”. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Por su parte, el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue, “a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)” y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18, quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.
5. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
6. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
7. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
8. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”, por lo que, la sanción que debe corresponder es de apercibimiento. A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad, TECNOLOGIA EXTREMEÑA DEL LITIO, S.L. con CIF.: B87667861, titular de la página web: www.sanjosevaldeflorez.es por infracción de artículo 13, del RGPD, en lo que respecta a la “Política de Privacidad” de su página web. QUE: de conformidad con el artículo 58.2 del RGPD, la medida correctiva que se debe imponerse a la entidad, TECNOLOGIA EXTREMEÑA DEL LITIO, consiste en ORDENARLE que, en el plazo de un mes, a contar desde la notificación de esta resolución, tomase las medidas necesarias para adecuar la política de privacidad a lo estipulado en la normativa vigente, esto es, al RGPD y a la LOPDGDD. NOTIFICAR: la presente resolución a la entidad, TECNOLOGIA EXTREMEÑA DEL LITIO, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 teresados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. ANEXO.- Relación de Reclamantes en el PS/0067/2021: Reclamante nº1.- A.A.A. Reclamante nº2.- B.B.B. Reclamante nº3.- C.C.C. Reclamante nº4.- D.D.D. Reclamante nº5.- E.E.E. Reclamante nº6.- F.F.F. Reclamante nº7.- G.G.G. Reclamante nº8.- H.H.H. Reclamante nº9.- I.I.I. Reclamante nº10.- J.J.J. Reclamante nº11.- K.K.K. Reclamante nº12.- L.L.L. Reclamante nº13.- M.M.M. Reclamante nº14.- N.N.N. Reclamante nº15.- Ñ.Ñ.Ñ. Reclamante nº16.- O.O.O. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es