PS-00103-2020

1/4  Procedimiento Nº: PS/00103/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0103/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, BABYISLIFE CONSULTING, S.L. con CIF.: B55709984, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por Dª A.A.A. (en adelante, “la reclamante”) y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/05/19, tuvo entrada en esta Agencia escrito, presentado por la reclamante, en el que exponía, entre otras, lo siguiente: “Se ha recibido información por correo electrónico, hemos solicitado acceso a los datos y no hemos recibido respuesta de quien se los ha facilitado. Esta empresa, ha contactado en varias ocasiones por correo electrónico con nosotros, sin que, tras varios intentos, y solicitar mi derecho de acceso por escrito, la misma no se ha dignado a dar respuesta a la solicitud”: Con fecha de 06/06/19, la reclamante envía a esta Agencia nuevo escrito aportado los documentos: - Correo original recibido, - Cabeceras de internet del correo y Correo de ejercicio de derecho de acceso y solicitud de información sobre el origen de los datos. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), procediendo a constatar lo siguiente: Se observa que la dirección empleada para contactar con la reclamante es “***EMAIL.1”. La página web de “***URL.1” da la apariencia de responder a una empresa de los Estados Unidos de América, donde en su página de contacto aparece una dirección de San Diego y un teléfono correspondiente a Estados Unidos de la compañía AT+T. A través de la herramienta de internet “whois”, se averigua que este dominio está registrado por la compañía española SITEGROUND SPAIN, S.L. TERCERO: - Con fecha de 01/08/19 se reciben en esta Agencia, escritos remitidos por VODAFONE ESPAÑA S.A.U. informando de que el titular de los números de teléfono ***TELÉFONO.1 y ***TELÉFONO.2, que figuran en la documentación presentada en la reclamación, es: o Titular: BABYISLIFE o CIF: B55709984 Dirección:***DIRECCIÓN.1 CUARTO: Con fecha de 06/08/19 se recibe en esta Agencia, escrito remitido por SITEGROUND SPAIN, S.L. informando que el dominio “***URL.1” correspondiente al remitente del correo publicitario reclamado está registrado a nombre de Baby is Life Consulting S.L CIF: B55709984 y Dirección: ***DIRECCIÓN.1, con Email: ***EMAIL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 QUINTO: Con fecha de 03/09/19 se realiza requerimiento de información vía el servicio Notific@ a la compañía BABYISLIFE solicitando las causas que han motivado la no atención de los derechos de la reclamante y el origen de sus datos. La notificación resultó expirada el 14/09/19, reiterándose el 17/09/19, a través de los servicios postales dando como resultado “devuelta a origen por ausente” el día 01/10/19 tras dos intentos de entrega y dejar aviso en el buzón. SEXTO: Tras la notificación de la incoación del expediente, a través del tablón edictal único, el 08/07/20, no se ha recibido en esta Agencia, ningún escrito de alegaciones a dicha incoación. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. II En el presente caso, la reclamante denuncia que ha recibido correos electrónicos de una empresa con la que no tiene ningún tipo de relación. Ha solicitado en varias ocasiones, el acceso a sus datos que tiene la empresa suyos, pero no han recibido respuesta alguna en ninguno de los intentos. El artículo 15 del RGPD, correspondiente al “derecho de acceso del interesado”, indica que:

1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales (…)”. Por otra parte, el artículo 13 del RGPD, indica que, cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará la información indicada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 a). la identidad y los datos de contacto del responsable y, en su caso, de su representante; b). los datos de contacto del delegado de protección de datos, en su caso; c). los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d). cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e). los destinatarios o las categorías de destinatarios de los datos personales, en su caso; (…)
2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado (…)”. Según se constata de todo lo anterior, por un lado, la entidad reclamada no ha proporcionado la información, que establece el artículo 13 del RGPD, cuando obtuvo los datos personales de la reclamante y por otro, cuando ésta intenta ejercitar su derecho de acceso para conocer los datos personales, que la entidad reclamada posee de ella, no recibe ningún tipo de respuesta. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE: APERCIBIR: a la entidad BABYISLIFE CONSULTING, S.L. con CIF.: B55709984 por infracción de los artículos 15 y 13 del RGPD. REQUERIR: a la entidad BABYISLIFE CONSULTING, S.L., para que, en el plazo de un mes desde este acto de notificación de la resolución, proceda a proporcionar a la persona reclamada el acceso a los datos personales que posee de ella y incluir leyendas en los documentos que se proporcionan a los clientes, a los efectos de cumplir con el deber de información del artículo 13 del RGPD. NOTIFICAR: la presente resolución a la entidad BABYISLIFE CONSULTING, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es