← España

PS-00078-2020

1/14  Procedimiento Nº: PS/00078/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 10 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), responsable de la web ***URL.1 por presunta vulneración de la normativa de protección de datos. Los motivos en que basa la reclamación son los siguientes: “[…]cuando me inscribí en su Newsletter no se me informó en ningún momento la finalidad de estos datos, ni el responsable del tratamiento de la información, ni del fichero, ni nada. Días más tarde compré un artículo a esta tienda y quise devolverlo porqué me sirvió un artículo incorrecto y cuando busqué el formulario de desistimiento no lo encontré porque no tiene. En el momento de registrarme tampoco se informa de la finalidad de los datos introducidos, el responsable del tratamiento de mis datos, el tiempo que tendrá mis datos, etc.” SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo notificada el 03/12/2019/2019. No se ha recibido contestación alguna por parte del reclamado. TERCERO: Consultada en fecha 23 de marzo de 2020 la página web https://goncabass.es, se verifica que la página se encuentra activa y se realiza diligencia con la finalidad de incorporar al expediente captura de la página principal donde figura el apartado relativo a la suscripción a la newsletter, así como sendas impresiones de la página de política de privacidad y de la página de creación de cuenta. CUARTO: El 23 de marzo de 2020 se consulta la aplicación de la AEPD y se verifica que el único procedimiento sancionador en el que aparece como reclamado la mercantil B.B.B. con NIF ***NIF.1, es el presente procedimiento. QUINTO: Con fecha 30 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 SEXTO: Notificado el citado acuerdo de inicio el día 4 de junio de 2020, el reclamado no ha presentado alegaciones. SÉPTIMO: En fecha 17 de septiembre de 2020 se accede a la página web ***URL.1 con el objeto de comprobar la situación de la mencionada página en relación con la diligencia efectuada el 23 de marzo de 2020, realizándose impresiones de la política de privacidad y de la página de creación de cuenta, así como captura de lo concerniente a la newsletter que figura en la página de inicio. Se realiza diligencia de incorporación al expediente de estas comprobaciones. OCTAVO: Con fecha 18 de septiembre de 2020 se formuló propuesta de resolución, proponiendo se imponga al reclamado una sanción de apercibimiento, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la misma norma. El reclamado no ha presentado alegaciones a esta propuesta. NOVENO: En fecha 3 de diciembre de 2020 se accede a la página web https://goncabass.es con el objeto de comprobar la situación de la mencionada página en relación con la diligencia efectuada el 18 de septiembre de 2020, realizándose impresiones de la política de privacidad y captura de la página de inicio. Se realiza diligencia de incorporación al expediente de estas comprobaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Las comprobaciones relativas a aspectos la política de privacidad de la página web https://goncabass.es realizada el día 23 de marzo de 2020 pusieron de manifiesto lo siguiente: ● El contenido de la política de privacidad no se encontraba adaptada al RGPD y a la LOPDGDD, continuando referenciada a la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Su contenido era el siguiente: “Política de privacidad Denominación Social: B.B.B. Nombre Comercial: ***URL.1 Domicilio Social: Calle ***DIRECCIÓN.1, Madrid CIF / NIF: ***NIF.1 Teléfono: ***TELÉFONO.1 e-Mail: ***EMAIL.1 De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y su normativa de desarrollo, el responsable del sitio web, en cumplimiento de lo dispuesto en el art. 5 y 6 de la LOPD, informa a todos los usuarios del sitio web que faciliten o vayan a facilitar sus datos personales, que estos serán incorporados en un fichero automatizado que se encuentra debidamente inscrito en la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Los usuarios, mediante la marcación de la casilla, aceptan expresamente y de forma libre e inequívoca que sus datos personales sean tratados por parte del prestador para realizar las siguientes finalidades: 1. Remisión de comunicaciones comerciales publicitarias por e-mail, fax, SMS, MMS, comunidades sociales o cualesquier otro medio electrónico o físico, presente o futuro, que posibilite realizar comunicaciones comerciales. Dichas comunicaciones comerciales serán relacionadas sobre productos o servicios ofrecidos por el prestador, así como por parte de los colaboradores o partners con los que éste hubiera alcanzado algún acuerdo de promoción comercial entre sus clientes. En este caso, los terceros nunca tendrán acceso a los datos personales. En todo caso las comunicaciones comerciales serán realizadas por parte del prestador y serán de productos y servicios relacionados con el sector del prestador. 2. Realizar estudios estadísticos. 3. Tramitar encargos, solicitudes o cualquier tipo de petición que sea realizada por el usuario a través de cualquiera de las formas de contacto que se ponen a disposición del usuario en el sitio web de la compañía. 4. Remitir el boletín de noticias de la página web. El prestador informa y garantiza expresamente a los usuarios que sus datos personales no serán cedidos en ningún caso a terceras compañías, y que siempre que fuera a realizarse algún tipo de cesión de datos personales, de forma previa, se solicitaría el consentimiento expreso, informado, e inequívoco por parte de los titulares. Todos los datos solicitados a través del sitio web son obligatorios, ya que son necesarios para la prestación de un servicio óptimo al usuario. En caso de que no sean facilitados todos los datos, el prestador no garantiza que la información y servicios facilitados sean completamente ajustados a sus necesidades. El prestador garantiza en todo caso al usuario el ejercicio de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos dispuestos en la legislación vigente. Por ello, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) podrá ejercer sus derechos remitiendo una solicitud expresa, junto a una copia de su DNI, a través de los siguientes medios: • E-Mail: ***EMAIL.1 Del mismo modo, el usuario podrá darse de baja de cualquiera de los servicios de suscripción facilitados haciendo clic en el apartado darse de baja de todos los correos electrónicos remitidos por parte del prestador. Del mismo modo, el prestador ha adoptado todas las medidas técnicas y de organización necesarias para garantizar la seguridad e integridad de los datos de carácter personal que trate, así como para evitar su pérdida, alteración y/o acceso por parte de terceros no autorizados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 ● La información de la política de privacidad se ofrecía en un hipervínculo accesible tanto desde la página principal como en el momento de creación de la cuenta de usuario. ● La suscripción a la newsletter que podía realizarse desde la página principal no ofrecía la posibilidad de aceptación de la política de privacidad con carácter previo a la introducción del dato del correo electrónico mientras que esta posibilidad sí se recogía para la suscripción opcional al boletín de noticias desde la página de creación de la cuenta de usuario. SEGUNDO: Las comprobaciones llevadas a cabo el día el día 17 de septiembre de 2020 mostró lo siguiente: ● Se ha optado por mostrar la información básica y adicional en una misma página accesible desde un hipervínculo mostrado tanto desde la página principal como en el momento de creación de la cuenta de usuario. ● Actualización de la política de privacidad. En esa fecha el contenido de la misma es el siguiente: “POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, por el que se deroga la directiva 95/46/CE (en adelante, RGPD), de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI-CE) y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, B.B.B. garantiza la protección y confidencialidad de los datos personales, de cualquier tipo que nos proporcionen nuestros clientes, de acuerdo con lo dispuesto en el Reglamento General de Protección de Datos de Carácter Personal. La Política de Protección de Datos de B.B.B. descansa en el principio de responsabilidad proactiva, según el cual el Responsable del tratamiento es responsable del cumplimiento del marco normativo y jurisprudencial, siendo capaz de demostrarlo ante las autoridades de control correspondientes. Los datos facilitados serán tratados en los términos establecidos en el RGPD, en este sentido B.B.B. ha adoptado los niveles de protección que legalmente se exigen, y ha instalado todas las medidas técnicas a su alcance para evitar la pérdida, mal uso, alteración, acceso no autorizado por terceros, expuestos a continuación. No obstante, el usuario debe ser consciente de que las medidas de seguridad en Internet no son inexpugnables. Responsable del tratamiento: ¿Quiénes somos? Denominación: B.B.B. CIF: ***NIF.1 Dirección: C/ ***DIRECCIÓN.1, Madrid C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Teléfono: ***TELÉFONO.1 Correo electrónico: ***EMAIL.1 Finalidad del tratamiento: ¿Para qué usaremos sus datos? Todos los datos facilitados por nuestros clientes y/o visitantes en la web de B.B.B. o a su personal, serán incluidos en registro de actividades de tratamiento de datos de carácter personal, creado y mantenido bajo la responsabilidad de B.B.B., imprescindibles para prestar los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones planteadas por nuestros visitantes. Nuestra política es no elaborar perfiles sobre los usuarios de nuestros servicios. Legitimidad del tratamiento: ¿Por qué necesitamos sus datos?

  1. a)Relación contractual: Es la que aplica cuando compra uno de nuestros productos o contrata alguno de nuestros servicios.
  2. b)Interés legítimo: Para atender a las consultas y reclamaciones que nos plantee y para gestionar el cobro de las cantidades adeudadas.
  3. c)Su consentimiento: Si es usuario de nuestra web, mediante la marcación de la casilla que figura en el formulario de contacto, nos autoriza a que le remitamos las comunicaciones necesarias para dar respuesta a la consulta o solicitud de información planteada. Destinatarios: ¿Con quién compartimos sus datos? No cedemos sus datos personales a nadie, a excepción de aquellas entidades públicas o privadas a las cuales estemos obligados a facilitar sus datos personales con motivo del cumplimiento de alguna ley. Por poner un ejemplo, la Ley Tributaria obliga a facilitar a la Agencia Tributaria determinada información sobre operaciones económicas que superen una determinada cantidad. En el caso de que, al margen de los supuestos comentados, necesitemos dar a conocer su información personal a otras entidades, le solicitaremos previamente su permiso a través de opciones claras que le permitirán decidir a este respecto. Comunicación: ¿Dónde podríamos enviar tus datos? No realizaremos transferencias internacionales de sus datos personales para ninguna de las finalidades indicadas. Conservación: ¿Cuánto tiempo mantendremos tus datos? Solo conservaremos sus datos personales durante el tiempo que resulte necesario para lograr los fines para los que fueron recabados. A la hora de determinar el oportuno periodo de conservación, examinamos los riesgos que conlleva el tratamiento, así como nuestras obligaciones contractuales, legales y normativas, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 políticas internas de conservación de datos y nuestros intereses de negocio legítimos descritos en el presente Aviso de Privacidad y Política de Cookies. En este sentido, B.B.B. conservará los datos personales una vez terminada su relación con Ud., debidamente bloqueados, durante el plazo de prescripción de las acciones que pudieran derivarse de la relación mantenida con el interesado. Una vez bloqueados, sus datos resultarán inaccesibles para B.B.B., y no serán tratados excepto para su puesta a disposición a las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas de los tratamientos, así como para el ejercicio y defensa de reclamaciones ante la Agencia Española de Protección de Datos. Seguridad: ¿Cómo vamos a proteger sus datos? Empleamos todos los esfuerzos razonables para mantener la confidencialidad de la información personal que se trate en nuestros sistemas. Mantenemos estrictos niveles de seguridad para proteger los datos de carácter personal que procesamos frente a pérdidas fortuitas y a accesos, tratamientos o revelaciones no autorizados, habida cuenta del estado de la tecnología, la naturaleza y los riesgos a que están expuestos los datos. No obstante, no podemos responsabilizarnos del uso que Ud. haga de los datos (incluido usuario y contraseña) que utilice en nuestra web. Nuestro personal sigue estrictas normas de privacidad y en el caso de que contratemos a terceros para prestar servicios de soporte, les exigimos que acaten las mismas normas y nos permitan auditarles para verificar su cumplimiento. Sus derechos: ¿Qué derechos puede ejercer como interesado? Le informamos que podrá ejercer los siguientes derechos:
  4. a)Derecho de acceso a sus datos personales, para saber cuáles están siendo objeto de tratamiento y las operaciones de tratamiento llevadas a cabo con ellos;
  5. b)Derecho de rectificación de cualquier dato personal inexacto;
  6. c)Derecho de supresión de sus datos personales, cuando esto sea posible (por ejemplo, por imperativo legal);
  7. d)Derecho de limitación del tratamiento de sus datos personales cuando la exactitud, la legalidad o la necesidad del tratamiento de los datos resulte dudosa, en cuyo caso, podremos conservarlos para el ejercicio o la defensa de reclamaciones.
  8. e)Derecho de oposición al tratamiento de sus datos personales, cuando la base legal que nos habilite para su tratamiento de las indicadas sea nuestro interés legítimo. B.B.B. dejará de tratar tus datos salvo que tenga un interés legítimo o sea necesario para la defensa de reclamaciones.
  9. f)Derecho a la portabilidad de sus datos, cuando la base legal que nos habilite para su tratamiento sea la existencia de una relación contractual o su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
  10. g)Derecho a revocar el consentimiento otorgado a B.B.B. Para ejercitar sus derechos, puede hacerlo de manera gratuita y en cualquier momento, contactando con nosotros en la dirección C/ ***DIRECCIÓN.1, Madrid, adjuntando copia de su DNI. Tutela de derechos: ¿Dónde puede formular una reclamación? En caso de que entienda que sus derechos han sido desatendidos por nuestra entidad, puede formular una reclamación en la Agencia Española de Protección de Datos, a través de alguno de los medios siguientes: .- Sede electrónica: https://www.aepd.es .- Correo postal: Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001, Madrid .- Teléfono: ***TELÉFONO.2 y ***TELÉFONO.3 Formular una reclamación en la Agencia Española de Protección de Datos no conlleva ningún coste y no es necesaria la asistencia de abogado ni procurador. Actualizaciones: ¿Qué cambios puede haber en esta Política de Privacidad? B.B.B. se reserva el derecho a modificar la presente política para adaptarla a novedades legislativas o jurisprudenciales que puedan afectar el cumplimiento de la misma.” TERCERO: Las comprobaciones efectuadas el día 3 de diciembre de 2020, ponen de manifiesto los siguientes aspectos: ● El contenido de la política de privacidad es idéntico al verificado el 17 de septiembre de 2020. ● Se garantiza el acceso a la información de la política de privacidad en el momento de suscripción de la newsletter o boletín de noticias desde la página principal vinculando dicha suscripción con su aceptación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  11. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  12. b)los datos de contacto del delegado de protección de datos, en su caso;
  13. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  14. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  15. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  16. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  17. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  18. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  19. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  20. d)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14
  21. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  22. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD, que considera como tal: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
  23. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].» A efectos del plazo de prescripción de la infracción, el artículo 74 de la LOPDGDD establece: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: […]
  24. a)El incumplimiento del principio de transparencia de la información o del derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. […]” III De conformidad con las evidencias proporcionadas por los hechos probados, se considera que el reclamado mantuvo la política de privacidad de la web https://goncabass.es —tienda online especializada en productos relacionados con la pesca— desactualizada respecto a lo dispuesto en el artículo 13 del RGPD, al menos al menos hasta el 23 de marzo de 2020 y teniendo en cuenta que la entrada en vigor de la citada norma tuvo lugar el 25 de mayo de 2018. De esta manera, la información que los clientes recibían y aceptaban en el momento de crear una cuenta y facilitar sus datos personales no se encontraba adaptada a lo dispuesto en el RGPD. Asimismo, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 proceso de suscripción a la newsletter no proporcionaba la información antedicha en el momento de introducción del dato del correo electrónico. Actualmente, si bien el reclamado ha actualizado la Política de Privacidad, se observan los siguientes incumplimientos: ● Por lo que se refiere a la información que el artículo 11.2 de la LOPDGDD configura como básica, se señala que la obligación de informar acerca de los fines del tratamiento, de acuerdo con lo establecido en el artículo 13.1.
  25. c)del RGPD. No obstante, en el contenido de la política de privacidad que se recoge en el hecho probado segundo, no se menciona expresamente la referencia a la finalidad de tratamiento consistente en el envío de comunicaciones publicitarias o comerciales relacionadas con la actividad del responsable, aun cuando se ofrece la posibilidad de suscribirse a una newsletter o boletín de noticias y por lo tanto es plausible que determinados datos personales se destinen a dicha finalidad. Por la propia naturaleza de esta actividad, no puede considerarse subsumida en “los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones planteadas por nuestros visitantes”. ● Respecto al resto de la información que se debe facilitar de acuerdo con el artículo 13, se pone de manifiesto lo siguiente: 1. En virtud del artículo 13.1.
  26. c)del RGPD es necesario informar de las bases jurídicas que legitimen el tratamiento en función de los fines definidos. Sin embargo, en el presente caso, posiblemente motivado por el hecho de que no se ha incluido el envío de comunicaciones como uno de las finalidades del tratamiento de datos personales que pueden llevarse a cabo, tal y como se ha señalado más arriba, el responsable no informa acerca de su base legitimadora. 2. El artículo 13.1.
  27. e)establece la obligación de, al menos describir las categorías de destinatarios a los que se cederán los datos, sin que quepa una mención genérica. En el presente caso, se afirma que no se cederán los datos personales, pero a continuación se menciona genéricamente la excepción de entidades públicas o privadas a las que se esté obligado por ley, y se pone un ejemplo de una administración pública. Por lo tanto, una vez que sí que está prevista la posibilidad de una cesión a entidades públicas y privadas, un correcto ejercicio del deber de información hace necesario la descripción, al menos, de las categorías de destinatarios (si no es posible individualizar los mismos) de entidades públicas y privadas respecto a las que la responsable estima que puede llegar a existir una obligación de cesión de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 3. Por lo que se refiere al plazo de conservación de los datos personales obtenidos del interesado, el artículo 13.2.
  28. a)del RGPD dispone que se informará acerca de la duración de dicho plazo, o si esto no es posible, de los criterios tomados en cuenta para su determinación. En la actual política de privacidad, se realiza una referencia genérica a que el plazo de conservación será el necesario para dar cumplimiento a los fines, siendo determinado dicho plazo por criterios de cumplimiento de obligaciones legales, política interna e intereses legítimos, sin que se describan los mismos. Se realiza una referencia genérica a que se conservarán los datos una vez finalizada la relación entre cliente y responsable, por el tiempo determinado de prescripción de las acciones. Teniendo en cuenta que los datos obtenidos del interesado por el responsable responden a diversas finalidades, un tratamiento leal y transparente exige que la referencia al plazo de conservación (o al menos los criterios que se van a tomar en cuenta para determinarlo) se individualicen para cada uno de los mencionados fines. 4. Respecto a la información relacionada con el ejercicio de derechos, queda acreditado que el responsable hace referencia a ella en su política de privacidad, por lo que puede considerarse cumplido el deber de información con carácter básico. No obstante, se señalan los siguientes aspectos: 4.1. El artículo 17 del RGPD establece —en su apartado 1— los supuestos en los que el interesado puede instar el derecho de supresión de los datos personales que le afecten, así como —en el apartado 3— las situaciones en las que este derecho de supresión no se aplicará. El responsable ha optado por incluir la consideración genérica de que este derecho podrá ejercitarse cuando sea posible e incluye como ejemplo el imperativo legal. En este sentido, hay que señalar que aun cuando el cumplimiento de una obligación legal en el Derecho de la Unión o de un estado miembro es uno de los casos recogidos en el artículo 17.1, un correcto ejercicio del derecho a la información implica que, de aportar algún ejemplo, se informe de aquellos supuestos que, por la propia naturaleza de la actividad desarrollada por el responsable, tienen una probabilidad alta de acaecer en el tiempo; a saber, el devenir innecesarios para los fines para los que se recogió o la retirada del consentimiento mencionada en el artículo 17.1.b). 4.2. El artículo 21.1 regula el derecho de oposición al tratamiento de datos cuya base legitimadora sea el interés público o el interés legítimo y señala como supuestos en los que el responsable no dejaría de lleva a cabo dicho tratamiento aquellos en que «se acredite [por el responsable] motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de las reclamaciones.». Por lo tanto, no es correcto declarar que en el ejercicio del derecho de oposición en el caso de que la base legitimadora del tratamiento sea el interés legítimo, dicho tratamiento se vería limitado por la propia existencia de un interés legítimo del responsable. Como señala el artículo, el responsable debe acreditar que su interés prevalece sobre los intereses, derechos y libertades del interesado que ha ejercitado el derecho de oposición. En otro orden de cosas, por lo que se refiere al ejercicio material de los derechos que asisten al interesado, y aun cuando este extremo no forma parte del contenido del artículo 13 del RGPD cuya infracción se imputa en este procedimiento sancionador, se advierte que el único medio facilitado para el ejercicio de aquellos parece ser por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 correo postal, sin tomar en consideración lo dispuesto en el Considerando 59 RGPD que establece que «Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos […]». En este caso, una adecuada proporcionalidad implicaría que, habida cuenta de que es posible la obtención de datos personales por medios electrónicos, el ejercicio de los derechos se pueda ejercer también por la misma vía. 5. Por último se señala que, teniendo en cuenta que una de las bases legitimadoras es la relativa a las posibles obligaciones contractuales que pueden surgir entre el responsable y el potencial cliente, debe señalarse la obligatoriedad o no de facilitar los datos personales, así como la consecuencia de no hacerlo, todo ello en virtud del artículo 13.2.
  29. e)del RGPD. IV Sin perjuicio de lo establecido en el artículo 83.5 del RGPD, el art. 58.2
  30. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta los siguientes elementos,  Que se trata de una infracción tipificada como leve.  Que el responsable es una persona física.  Que no se aprecia reincidencia por no constar la comisión de infracciones previas. Por todo ello, se considera que la sanción que correspondería imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
  31. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2
  32. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá acreditar, en el plazo de un mes, que ha procedido a actualizar la política de privacidad. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. Asimismo, en el plazo de UN MES desde la notificación del presente acto, deberá acreditar lo siguiente:  Haber actualizado la política de privacidad de la web https://goncabass.es, de manera que su contenido se adecúe a lo dispuesto en el artículo 13 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a B.B.B. e informar a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.