PS-00072-2019 | Europaius

1/12 Procedimiento Nº: PS/00072/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de mayo de 2018 tiene entrada en esta Agencia reclamación formulada por Don A.A.A. (en adelante, el reclamante) poniendo de manifiesto que la página web ***URL.1 del gimnasio con nombre comercial “555 Crossfit” carece de Aviso Legal y no facilita el CIF del responsable. SEGUNDO: A la vista de los hechos expuestos por el reclamante y del análisis de la documentación a la que se refiere TOTAL CROSSFIT, S.L., (en adelante el reclamado), en su escrito de fecha 20 de julio de 2018 de contestación a la información que le fue requerida por esta Agencia en relación con los hechos objeto de reclamación, se ha tenido conocimiento de los siguientes hechos: -En el momento de la reclamación la página web ***URL.1 no contaba con Aviso Legal, según reconoce el reclamado. - Con fecha 30 de abril de 2018 el reclamado había encargado a su desarrollador web la modificación de su página web para su adecuación lo previsto en el Reglamento General de Protección de Datos. - Con fecha 11 de febrero de 2019 desde la Subdirección General de Protección de Datos se accede a la página web ***URL.1, de la que el reclamado es titular, constatándose que cuenta con un formulario de contacto a través del cual recaba datos personales (nombre y e-mail) de los interesados. Al pie del citado formulario figura una casilla sin cumplimentar junto a la cual aparece la siguiente leyenda: “Acepto las Condiciones de uso y Política de privacidad”, y bajo la misma el botón de “Enviar”. El texto subrayado es un enlace que conduce a dicho documento (***URL.2), cuyo primer apartado informa lo siguiente bajo la rúbrica “Protección de Datos Razón Social”: “La empresa garantiza a los usuarios de la página web que cumple con el Reglamento General de Protección de Datos (UE) 2016/679, y que ha establecido las medidas de seguridad exigidas por las leyes y reglamentos destinados a reservar el secreto, confidencialidad e integridad en el tratamiento de sus datos personales. Dichos datos personales serán utilizados en la forma y con las limitaciones y derechos que concede la protección de datos de carácter personal. La recogida y tratamiento de los datos personales solicitados tienen como finalidad la atención al usuario, tanto administrativa como comercial. Razón Social se compromete a guardar la máxima reserva, secreto y confidencialidad sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 información de los datos personales que tiene a su disposición. Usted tiene derecho a obtener confirmación sobre si en Razón Social estamos tratando sus datos personales por tanto tiene derecho a acceder a sus datos personales, rectificar los datos inexacto o solicitar su supresión cuando los datos ya no sean necesarios para los fines que fueron recogidos.” A la vista del contenido de dicha información, se observa que la misma no se adecua a las exigencias de la vigente normativa de protección de datos, habida cuenta que el responsable del tratamiento, en este caso el reclamado, recaba datos personales de los interesados que cumplimentan el formulario de contacto incluido el sitio ***URL.1, sin facilitarles, en el momento de la recogida, la información completa a la que se refiere el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante RGPD) . TERCERO: Con fecha 27 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de Apercibimiento a TOTAL CROSSIF, S.L., con arreglo a lo dispuesto en los artículos 58.2.

b)del RGPD y 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
b)del RGPD. CUARTO: Con fecha 15 de marzo de 2019 el reclamado presentó escrito de alegaciones en el que, en síntesis, se indicaba que inmediatamente después de recibir el acuerdo de inicio del procedimiento se realizaron las correspondientes modificaciones de conformidad con lo expuesto en el acuerdo de inicio del procedimiento sancionador. Se adjuntan varios pantallazos de la página web en apoyo de sus manifestaciones. Se añadía que no han mantenido ni mantienen ningún tipo de relación con el reclamante, ni tan siquiera a nivel de usuario. Asimismo, a los efectos de su valoración en el procedimiento, se indicaba que el número de usuarios del negocio ascenderá a unas doscientas cincuenta personas. QUINTO: Con fecha 18 de marzo de 2019 se incorpora al procedimiento impresión del resultado obtenido con esa misma fecha al acceder al reseñado sitio web a los efectos de constatar los cambios alegados en la información sobre protección de datos ofrecida en la reseñada página web y su formulario de contacto. Se verifica que al pie del formulario de contacto se ha incluido el siguiente texto: “INFORMACIÓN BÁSICA DE PROTECCIÓN DE DATOS: En cumplimiento del artículo 13 del RGPD, en relación al deber de informar a los interesados de las circunstancias y condiciones del tratamiento de sus datos y de los derechos que le asisten, ponemos a su disposición la siguiente información. RESPONSABLE DE TRATAMIENTO: Total Crossfit, S.L. FINALIDAD DEL TRATAMIENTO DE SUS DATOS: Gestionar y responder su consulta CONSERVACIÓN DE LOS DATOS: Los datos se conservarán el tiempo estrictamente necesario para la respuesta a su solicitud de información. Este plazo será de un máximo de 60 días. LEGITIMACIÓN PARA EL TRATAMIENTO: Consentimiento otorgado en el envío de la solicitud de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 DESTINATARIOS DE SUS DATOS PERSONALES: No se prevén cesiones de datos salvo en aquellos casos en que exista una obligación legal. No hay previsión de transferencias de datos internacionales. SUS DERECHOS: Puede revocar el consentimiento y ejercer sus Derechos a acceder, rectificar, oponerse, limitar, portar y suprimir los datos, escribiendo a Total Crossfit, S.L. en Donoso Cortés 45, 28015 Madrid (Madrid) o enviando un mail a ***EMAIL.1 además de acudir a la autoridad de control competente (AEPD). INFORMACIÓN ADICIONAL: El interesado podrá solicitar información adicional a Total Crossfit, S.L. Al pie de esta información aparece una casilla en blanco con la siguiente leyenda “acepto las Condiciones de uso y Política de privacidad”, bajo la que aparece un botón con el texto “Enviar”. El texto subrayado es un enlace que al ser pulsado redirige al apartado relativo a “Protección de Datos TOTAL CROSSFIT, S.L.” contenido al inicio del documento “Política de Privacidad y Aviso Legal”. Se observa que el contenido de la información ofrecida en este apartado coincide con el descrito en el Antecedente de Hecho Segundo, excepción hecha que donde se indicaba “Razón Social” figura “TOTAL CROSSFIT, S.L.” La información obtenida a través de este acceso coincide con la adjuntada por el reclamado en su escrito de alegaciones. SEXTO: Con fecha 12 de septiembre de 2019 se visita nuevamente a la página web del reclamado, constatándose que la información sobre protección de datos ofrecida a los usuarios que van a cumplimentar el formulario o que acceden al documento “Política de Privacidad y Aviso Legal” situado al pie de todas las páginas del sitio no ha variado respecto del acceso realizado con fecha 18 de marzo de 2018. HECHOS PROBADOS PRIMERO: Con fecha 23 de mayo de 2018 tiene entrada en la AEPD reclamación formulada por el reclamante poniendo de manifiesto que la página web ***URL.1 carece de Aviso Legal y no facilita el CIF del responsable. SEGUNDO: Con fecha 11 de febrero de 2019 se accede a la página web ***URL.1, de la que TOTAL CROSSFIT, S.L. (el reclamado) es titular, comprobándose que cuenta con un formulario de contacto a través del cual el reclamado recaba datos personales (nombre y e-mail) de los interesados. Al pie del citado formulario figura una casilla sin cumplimentar junto a la cual aparece la siguiente leyenda: “Acepto las Condiciones de uso y Política de privacidad”, y bajo la misma el botón de “Enviar”. El texto subrayado es un enlace que conduce a dicho documento (***URL.2), cuyo primer apartado informa lo siguiente bajo la rúbrica “Protección de Datos Razón Social”: “La empresa garantiza a los usuarios de la página web que cumple con el Reglamento General de Protección de Datos (UE) 2016/679, y que ha establecido las medidas de seguridad exigidas por las leyes y reglamentos destinados a reservar el secreto, confidencialidad e integridad en el tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Dichos datos personales serán utilizados en la forma y con las limitaciones y derechos que concede la protección de datos de carácter personal. La recogida y tratamiento de los datos personales solicitados tienen como finalidad la atención al usuario, tanto administrativa como comercial. Razón Social se compromete a guardar la máxima reserva, secreto y confidencialidad sobre la información de los datos personales que tiene a su disposición. Usted tiene derecho a obtener confirmación sobre si en Razón Social estamos tratando sus datos personales por tanto tiene derecho a acceder a sus datos personales, rectificar los datos inexacto o solicitar su supresión cuando los datos ya no sean necesarios para los fines que fueron recogidos.” TERCERO: Con fechas 18 de marzo de 2019 y 12 de septiembre de 2019 se accede a la página web citada a los efectos de comprobar la información ofrecida por el reclamado a los usuarios cuyos datos personales (nombre y e-mail) se recababan para cumplimentar el formulario de contacto. En ambas fechas se verifica que al pie del formulario de contacto aparece el siguiente texto: “INFORMACIÓN BÁSICA DE PROTECCIÓN DE DATOS: En cumplimiento del artículo 13 del RGPD, en relación al deber de informar a los interesados de las circunstancias y condiciones del tratamiento de sus datos y de los derechos que le asisten, ponemos a su disposición la siguiente información. RESPONSABLE DE TRATAMIENTO: Total Crossfit, S.L. FINALIDAD DEL TRATAMIENTO DE SUS DATOS: Gestionar y responder su consulta CONSERVACIÓN DE LOS DATOS: Los datos se conservarán el tiempo estrictamente necesario para la respuesta a su solicitud de información. Este plazo será de un máximo de 60 días. LEGITIMACIÓN PARA EL TRATAMIENTO: Consentimiento otorgado en el envío de la solicitud de información. DESTINATARIOS DE SUS DATOS PERSONALES: No se prevén cesiones de datos salvo en aquellos casos en que exista una obligación legal. No hay previsión de transferencias de datos internacionales. SUS DERECHOS: Puede revocar el consentimiento y ejercer sus Derechos a acceder, rectificar, oponerse, limitar, portar y suprimir los datos, escribiendo a Total Crossfit, S.L. en Donoso Cortés 45, 28015 Madrid (Madrid) o enviando un mail a ***EMAIL.1 además de acudir a la autoridad de control competente (AEPD). INFORMACIÓN ADICIONAL: El interesado podrá solicitar información adicional a Total Crossfit, S.L.” Al pie de esta información hay una casilla en blanco junto a la que figura la siguiente leyenda “acepto las Condiciones de uso y Política de privacidad”, bajo la cual aparece un botón con el texto “Enviar”. En dichos accesos también se comprueba que al pulsar el enlace que constituye el texto subrayado anterior se accede al apartado relativo a “Protección de Datos TOTAL CROSSFIT, S.L.” incluido al inicio del documento legal “Política de Privacidad y Aviso Legal”. El contenido de la información ofrecida en este apartado coincide con el descrito en el Hecho Probado Segundo anterior, excepción hecha que donde se indicaba “Razón Social” figura “TOTAL CROSSFIT, S.L.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 CUARTO: El documento legal denominado “Política de Privacidad y Aviso Legal” resulta accesible en forma permanente a través del enlace con mismo nombre situado al pie de todas las páginas del sitio web ***URL.1. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en lo sucesivo, RGPD), reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, (en lo sucesivo LOPDGDD), la directora de la AEPD es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la captación de imágenes de personas físicas, identificadas o identificables, a través de sistemas de videovigilancia, constituye un tratamiento de datos de carácter personal, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo exigido en la vigente normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 III Se imputa al reclamado la vulneración de lo previsto en el artículo 13 del RGPD, precepto que en cuanto a la ”Información que deberá facilitarse cuando los datos personales se obtengan del interesado” determina que: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)el derecho a presentar una reclamación ante una autoridad de control;
e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, el artículo 12.1 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” Asu vez, respecto de los derechos de “Transparencia e información al afectado”, los apartados 1 y 2 del artículo 11 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), establecen que: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a)La identidad del responsable del tratamiento y de su representante, en su caso.
b)La finalidad del tratamiento.
c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679. IV En el presente caso, el reclamado reconoció en su escrito de fecha 11 de julio de 2018, que en momento de la formulación de la reclamación la página web estaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 inmersa en el proceso de adecuación obligatoria que ha supuesto la aplicación del RGPD, lo que justificaba aportando copia de la factura de fecha 30 de abril de 2018 de su desarrollador web, añadiendo que habían procedido a actualizar la “Política de Privacidad y Aviso Legal” del sitio web. No obstante dicha afirmación, con fecha 11 de febrero de 2019 se accedió al sitio web ***URL.1 comprobándose que se producía una recogida de datos personales (nombre y e-mail) de los usuarios que cumplimentan el formulario de contacto incluido en el citado sitio web sin que el reclamado les proporcionase la información en materia de protección de datos prevista en el artículo 13 del reseñado RGPD, toda vez que la información ofrecida en la el documento “Condiciones de uso y Política de privacidad” al que conducía el enlace incluido al pie de dicho formulario no facilitaba a los interesados cuyos datos recababa, en el momento de la recogida de los mismos, la información completa a la que se refiere el mencionado precepto. Así, conforme se desprende de la transcripción de la información que figura en el Hecho Probado Segundo de esta resolución, la información proporcionada en el apartado de protección de datos del documento “Política de Privacidad y Aviso Legal” al que dirigía el enlace situado al pie del formulario se limitaba a reseñar como finalidad del tratamiento la atención al usuario, tanto administrativa como comercial y a informar sobre la posibilidad de ejercitar los derechos de acceso a los datos personales de los interesados, de rectificación en caso de ser inexactos y de supresión cuando no fueran necesarios para los fines que fueron recogidos. Recibido el acuerdo de inicio del presente procedimiento, con fecha 15 de marzo de 2019 se registra de entrada en esta Agencia escrito de alegaciones a dicho acuerdo en el que el reclamado indicaba que había efectuado las modificaciones necesarias para adecuar la información ofrecida a los usuarios, cuyos datos personales recogía vía formulario web, a los aspectos contemplados en el artículo 13 del RGPD. A fin de justificar dicha actualización, adjuntaba captura del contenido de la información proporcionada en el sistema de información por capas utilizado para cumplir con el deber de informar a los interesados en el momento de obtener sus datos personales. A los efectos de verificar el contenido de dicha información, con fecha 18 de marzo de 2019 se constató tanto que al pie del formulario de contacto aparecía la “Información básica de Protección de Datos” de la primera capa, como que al pulsar el enlace “acepto las Condiciones de uso y Política de privacidad”, situado junto a la casilla en blanco, se accedía a la segunda capa de información que bajo el título “Protección de Datos TOTAL CROSSFIT, S.L.” se incluía en el primer apartado del documento legal “Política de Privacidad y Aviso Legal”. Con esa fecha también se constató que la información contenida en ambos niveles, y cuya descripción aparece en el Hecho Probado Tercero, coincidía con la obrante en la documentación aportada por el reclamado en su escrito de alegaciones. Tanto en esa visita, como en la realizada el 12 de septiembre de 2019, se comprobó que el contenido de la primera capa respondía en forma resumida a la información requerida en los apartados 1 y 2 del mencionado artículo 13, excepción hecha de la información relativa a lo dispuesto en las letras
d)y
e)del apartado 2 de dicho precepto, puesto que el reclamado no matiza que el derecho a acudir a la autoridad de control competente (AEPD) responde al derecho a presentar una reclamación ante la misma y no indica a los interesados si están obligados a facilitar los datos personales solicitados ni les señala las posibles consecuencias de no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 facilitar los datos. En cuanto a la información ofrecida por el reclamado en la segunda capa, no completa en forma detallada la ofrecida en la primera capa ni añade la información adicional referida a los aspectos sobre los que no se hubiera proporcionado información en ese primer nivel, limitándose a reproducir la información sobre protección de datos incluida en el apartado primero del documento legal “Política de Privacidad y Aviso Legal”, si bien donde inicialmente aparecía “Razón Social” se ha sustituido por TOTAL CROSSFIT, S.L. Esta carencia de información completa en esta segunda capa también se observa en la información ofrecida a través del enlace que bajo la denominación “Política de Privacidad y Aviso Legal” resulta accesible en forma permanente al pie de todas las páginas del sitio web ***URL.1 V De los hechos expuestos, así como de los argumentos razonados, se desprende que el reclamado ha vulnerado el deber de información que le resulta exigible en su condición de responsable del tratamiento analizado, consistente en la recogida de datos personales de los usuarios (nombre y email) que cumplimentan el formulario de contacto incluido en el sitio web ***URL.1 sin proporcionarles, en el momento de su obtención, toda la información prevista en el artículo 13 del reseñado RGPD, especialmente en la segunda capa de información que no resulta completa ni detallada, y que es la misma información que además expone a través del enlace permanente “Política de Privacidad y Aviso Legal” situado al pie de cada una de las páginas que integran el sitio web. Por lo tanto, y sin perjuicio de los cambios introducidos por el responsable del tratamiento para adecuar la información ofrecida a los aspectos exigidos en el artículo 13 del RGPD, se evidencia que TOTAL CROSSFIT, S.L., resulta responsable de la infracción a lo dispuesto en el artículo 13 del RGPD en su relación con lo previsto en el artículo 11 de la LOPDGDD, tipificada en el artículo 83.5.
b)del RGPD, y calificada como leve a efectos de prescripción en el artículo 74.
a)de la LOPDGDD. VI Los apartados b),
d)e
i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 “
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.
b)señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
a)a
h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
b)los derechos de los interesados a tenor de los artículos 12 a 22;”. Por su parte, el artículo 71 de la LOPDGDD establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.”, disponiéndose en el artículo 74.
a)de dicha norma que “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” En el presente caso, se considera adecuado imponer al reclamado la sanción de apercibimiento prevista en el artículo 58.2.
b)del RGPD a la vista de las siguientes circunstancias: la actividad principal del reclamado no se encuentra vinculada con el tratamiento habitual de datos de carácter personal, la ausencia de intencionalidad en la conducta infractora dado que, sin perjuicio de la existencia de la comisión de la infracción, el reclamado ha actuado con la mayor celeridad posible para adoptar medidas tendentes a subsanar la situación irregular estudiada, a lo que se suma que no le consta la comisión de ninguna infracción anterior en materia de protección de datos. Confirmada la existencia de la infracción descrita, y a la vista de la información actualmente ofrecida por el reclamado en el sistema de información por capas utilizado en la página web de su titularidad, con arreglo a lo establecido en el citado artículo 58.2.
d)del RGPD se considera oportuno ordenar al reclamado, como responsable del tratamiento, llevar a cabo las actuaciones necesarias (medidas técnicas y organizativas) para que las operaciones del tratamiento se ajusten a lo dispuesto en el artículo 13 del RGPD, debiendo facilitar a los usuarios, en el momento en que se obtienen dichos datos de los propios afectados, toda la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. Se informa al reclamado que dichas medidas habrán de adoptarse en el plazo de UN MES, computado desde la fecha en la que se notifique la presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 resolución sancionadora, debiendo acreditarse su cumplimiento en idéntico plazo mediante la aportación de documentación, o cualquier otro medio de prueba válido en derecho, que permita verificar la adecuación al RGPD de la información ofrecida en el sitio web estudiado al derecho de información de los interesados cuyos datos se requieren vía formulario. Se observa que el apartado 6 del artículo 83 del RGPD, establece que “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 72.1.
m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TOTAL CROSSFIT, S.L., de conformidad con lo previsto en el artículo 58.2.
b)del RGPD, una sanción de APERCIBIMIENTO por infracción a lo previsto en el artículo 13 del RGPD, tipificada en el artículo 83.5.
b)RGPD. SEGUNDO: ORDENAR a TOTAL CROSSFIT, S.L., al amparo de lo previsto en el artículo 58.2.
d)del RGPD, la adopción e implementación de las medidas necesarias para adecuar en su totalidad la información ofrecida en ambos niveles del sistema de información por capas utilizado en el sitio web estudiado, así como la información contenida en el enlace denominado “Política de Privacidad y Aviso Legal” que figura al pie de todas las páginas del sitio web, a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios, en el momento en que recaben los datos personales de los mismos vía formulario web, toda la información exigida en el citado precepto, para lo que el reclamado deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento El reclamado deberá acreditar ante esta Agencia la cumplimentación de lo ordenado mediante cualquier prueba válida en derecho en el plazo de UN MES, a contar desde el día siguiente a la notificación de la presente resolución. TERCERO: NOTIFICAR la presente resolución a TOTAL CROSSFIT, S.L., con NIF B87017463, De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.