PS-00087-2020

1/8  Procedimiento Nº: PS/00087/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 27 de mayo de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. (presunto responsable de la web ***URL.1 según declara el reclamante) con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “La página web ***URL.1 en el apartado aviso legal, carece de los datos para poder ejercer mis derechos. No indica quién es el propietario de la web, ni a quién debo de dirigirme para ejercitar mis derechos. He escrito email y llamado por teléfono, pero no hay contestación alguna.” SEGUNDO: Consultada el 06/08/2019 la página web ***URL.1 se realiza impresión de la política de privacidad siendo su contenido el siguiente: “«POLÍTICA DE PRIVACIDAD En cumplimiento de los dispuesto en la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (LOPD) se informa al usuario que todos los datos que nos proporcione serán incorporados a un fichero, creado y mantenido bajo la responsabilidad de ***URL.1. Siempre se va a respetar la confidencialidad de sus datos personales que sólo serán utilizados con la finalidad de gestionar los servicios ofrecidos, atender a las solicitudes que nos plantee, realizar tareas administrativas, así como remitir información, técnica, comercial o publicitaria por vía ordinaria o electrónica. Para ejercer sus derechos de oposición, rectificación o cancelación deberá escribirnos al siguiente correo ***EMAIL.1 o llámanos al ***TELÉFONO.1” TERCERO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo devuelta por dirección incorrecta el 9 de agosto de 2019. CUARTO: La reclamación fue admitida a trámite el 23 de octubre de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 QUINTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Conforme a las actuaciones de investigación practicadas, se practicó requerimiento de información al reclamado, resultando infructuosa la notificación por ausencia del destinatario. SEXTO: Se solicita a la Agencia Estatal de Administración Tributaria el domicilio fiscal del reclamado, siendo proporcionado el 26 de marzo de 2020. SÉPTIMO: Consultada en fecha 31 de marzo de 2020 la página ***URL.1, se verifica que la página web se encuentra activa y se realiza diligencia con la finalidad de incorporar al expediente captura de la página principal y del formulario de contacto así como impresión de la caché a fecha 19 de febrero de 2020 de la página del aviso legal alojada en el buscador Google (que corresponde con la impresión recogida en el Antecedente Segundo) toda vez que el enlace al citado aviso legal no funciona. OCTAVO: Con fecha 9 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la citada norma. NOVENO: Al haber resultado infructuosa la notificación del acuerdo de inicio, se procedió a publicar un anuncio de notificación en el Tablón Edictal Único del Boletín Oficial del Estado en fecha 5 de junio de 2020, de acuerdo con lo establecido en el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). El reclamado no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, de la LPACAP, que en su apartado

1. f)establece que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. DÉCIMO: En fecha 3 de noviembre de 2020 se accede a la página web ***URL.1 con el objeto de comprobar la situación de la mencionada página en relación con la diligencia efectuada el 23 de marzo de 2020, realizándose captura del formulario de contacto ubicado en la página principal así como del resultado de la página del aviso legal. Se realiza diligencia de incorporación al expediente de estas comprobaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: La web ***URL.1 cuenta con un formulario de contacto que recoge el nombre y el correo de usuarios interesados. electrónico SEGUNDO: disponía de una política de privacidad inserta en el aviso legal que no se encontraba adaptada a la normativa actualmente en vigor (a saber, el RGPD y la LOPDGDD), tal y como consta en la impresión recogida en el antecedente segundo y en la diligencia de comprobación a que hace referencia el antecedente séptimo. TERCERO: Las comprobaciones efectuadas el 3 de noviembre de 2020 muestran que la situación no ha variado respecto a la comprobación llevada a cabo el 31 de marzo de 2020 y recogida en el antecedente séptimo. CUARTO: El reclamado no ha presentado alegaciones. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD, que considera como tal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
14. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].» A efectos del plazo de prescripción de la infracción, el artículo 74 de la LOPDGDD establece: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: […]
15. a)El incumplimiento del principio de transparencia de la información o del derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. […]” III En el presente procedimiento corresponde analizar la presunta ilicitud de la política de privacidad del sitio web ***URL.1, motivada por su falta de actualización a lo dispuesto en el RGPD. Este análisis se realiza asumiendo que, por razones que pudieran ser técnicas, la parte correspondiente a la política de privacidad no se encuentra disponible, tal y como se ha puesto de manifiesto en el antecedente séptimo y en el hecho segundo. El artículo 11 de la LOPDGDD, relativo a la “Transparencia e información al afectado”, configura un sistema que permite dar cumplimiento a lo dispuesto en el artículo 13 del RGPD. Así, en sus apartados 1 y 2 dispone queque: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
16. a)La identidad del responsable del tratamiento y de su representante, en su caso.
17. b)La finalidad del tratamiento.
18. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” Los hechos probados muestran que la mencionada página cuenta con una apartado dedicado a la política de privacidad inserto en el aviso legal y que, aunque ofrece una información resumida sobre de las finalidades del tratamiento de datos personales y una indicación relativa al ejercicio de derechos (aunque desactualizada en su terminología por el hecho de que la política de privacidad mantiene sus referencias a la Ley 15/1999, de 5 de diciembre, de protección de datos personales), no informa acerca de la identidad del responsable, información que se considera básica a la luz del precepto transcrito anteriormente. Asimismo, la política de privacidad descrita debe proporcionar el resto de la información que se ha de proporcionar al interesado de acuerdo con el artículo 13 del RGPD, para lo cual podrá hacer uso del sistema de capas habilitado por el artículo 11 de la LOPDGDD, debiendo indicar, en este caso, el modo de que permita un acceso inmediato al resto de dicha información. Por último, se señala que, en el supuesto de que se considere al consentimiento como una de las bases legitimadoras del tratamiento, habida cuenta de que uno de sus requisitos es el de que sea informado, el responsable deberá habilitar las medidas técnicas pertinentes que permitan acreditar que dicho consentimiento se ha cumplido la comunicación de datos se ha realizado de manera informada. IV Sin perjuicio de lo establecido en el artículo 83.5 del RGPD, el art. 58.2
19. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta los siguientes elementos,  Que se trata de una infracción tipificada como leve. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8  Que aun cuando la actividad económica del responsable se encuentra vinculada con el tratamiento de datos personales debido a que la naturaleza del negocio de la página web ***URL.1 consiste precisamente en recabar y aglutinar datos de empresas y profesionales que ofrecen unos servicios que posteriormente demandarán los potenciales clientes, el responsable es una persona física.  Que no se aprecia reincidencia por no constar la comisión de infracciones previas. Por todo ello, se considera que la sanción que correspondería imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
20. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2
21. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá acreditar, en el plazo de un mes, que ha procedido a actualizar la política de privacidad. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del del mismo texto legal, una sanción de APERCIBIMIENTO. Asimismo, en el plazo de UN MES desde la notificación del presente acto, deberá acreditar lo siguiente:  Haber actualizado la política de privacidad de la web ***URL.1 a los dispuesto en el artículo 13 del RGPD. SEGUNDO: NOTIFICAR la presente resolución B.B.B. e informar del resultado de las actuaciones a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es