PS-00108-2024

1/9  Expediente N.º: EXP202318875 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra EDITAURI S.L. con NIF B56570039 (en adelante, EDITAURI). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que la tienda online de edición electrónica https://edicionesauri.com/ carece de política de privacidad, aun cuando dispone de formularios de recogida de datos personales. Junto a la notificación se aporta un documento PDF con 12 extractos de pantalla del sitio web https://edicionesauri.com/. SEGUNDO: Con fecha 27 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Las actuaciones previas de investigación de la Inspección han podido constatar los siguientes extremos: Que la sociedad titular de la página web https://edicionesauri.com/ es EDITAURI S.L., con NIF B56570039 y domicilio en ***DIRECCION.1. Fecha de Constitución: 24/10/2023 Actividad: 5811 - Edición de libros. Estado: Activa. Que B.B.B., con NIF: ***NIF.1 y domicilio en ***DIRECCION.1, es el administrador único de EDITAURI S.L., así como el titular de la línea teléfono número ***TELÉFONO.1, que aparece como uno de los números de contacto en el sitio https://edicionesauri.com/. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 El otro número de teléfono de contacto que aparece en el sitio web es el: ***TELÉFONO.2, que pertenece a la empresa Yorespondo Telesecretariado S.L. con CIF ***NIF.2 y web https://www.yorespondo.com/ que ofrece servicios a empresas de atención telefónica para clientes. Mediante diligencia de 22/02/2024, se incorporan al expediente capturas del contenido de la web https://edicionesauri.com/ , que incluye información de privacidad para la compra de libros online. En el apartado de la web “Envío de manuscritos” aparece una casilla de verificación obligatoria para aceptar los términos y condiciones de la “Ley de protección de datos”, sin concretar en realidad la información que requiere la normativa de protección de datos. El informe de las actuaciones previas de investigación concluye finalmente que la información facilitada en el sitio web objeto de la reclamación, no se adecúa a lo estipulado en el Artículo 13 de la RGPD. CUARTO: El 16/05/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el 16/05/2024 el citado acuerdo de inicio, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.

1. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que la sociedad titular de la página web https://edicionesauri.com/ es EDITAURI S.L., con NIF B56570039 y domicilio en ***DIRECCION.1. SEGUNDO: EDITAURI recaba datos personales de los interesados en diversos apartados de su sitio web https://edicionesauri.com/; en concreto, mediante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 dirección de correo electrónico contacto@edicionesauri.com prevista para consultas; también recaba EDITAURI , a través del “formulario de contacto” y en los apartados “envía tu manuscrito” y “finalizar compra”, el nombre y apellidos de los interesados, su dirección de correo electrónico, teléfono, datos de la tarjeta de crédito y/o débito. TERCERO: En el sitio web https://edicionesauri.com/ no existe un apartado de política de privacidad y falta la práctica totalidad de la información requerida por el artículo 13 del RGPD, cuando el responsable solicite datos directamente del interesado, con la sola excepción de la finalidad del tratamiento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida Transparencia en el tratamiento de datos personales El tratamiento de datos personales debe estar presidido por los principios que relaciona el artículo 5 del RGPD, que dispone: “Los datos personales serán:
3. a)Tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)”. El principio de transparencia se regula, fundamentalmente, en los artículos 12 a 14 del RGPD. En este sentido, el artículo 12 del RGPD establece que “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14” y contiene diversas normas sobre la “forma” en la que debe y puede proporcionarse la información que es preceptiva. El contenido de la información relativa al tratamiento de los datos personales que es obligado proporcionar al interesado se regula en el RGPD en los artículos 13 y 14 que distinguen dos hipótesis: que los datos se recaben del interesado (artículo 13 RGPD) o se obtengan de otra fuente (artículo 14 RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 El artículo 13 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” del RGPD establece: “ 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
4. a)La identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
15. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” A la luz de la documentación que obra en el expediente administrativo, EDITAURI recaba diversos datos de carácter personal en su sitio web https://edicionesauri.com/, mediante el uso de su correo electrónico para consultas contacto@edicionesauri.com, y en los apartados “Envía tu manuscrito”,“finalizar compra” y “formulario de contacto” recaba nombre y apellidos de los interesados, teléfono,dirección postal y de correo electrónico, así como tarjeta de crédito y/o débito. Aunque EDITAURI facilita en su sitio web alguna información sobre protección de datos (uso de cookies, finalidad del tratamiento), no existe un apartado de política de privacidad, propiamente dicho, y falta la práctica totalidad de la información requerida por el artículo 13 del RGPD, cuando el responsable solicita datos directamente del interesado. El artículo 13.1
16. a)del RGPD exige que se informe sobre la identidad y los datos de contacto del responsable y, en su caso, de su representante. Las comprobaciones realizadas por la AEPD confirmarían, como indica la parte reclamante, que no aparece la identidad del responsable del tratamiento, cuya averiguación ha requerido incluso de la realización de actuaciones previas por parte de la Inspección de datos de la AEPD; EDITAURI omite en su sitio web la práctica totalidad de la información requerida en el artículo 13 apartado del RGPD, cuando los datos se recojan del interesado e incumpliría así su deber como responsable del tratamiento de informar adecuadamente a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por lo anteriormente expuesto, la información facilitada en el sitio web objeto de la reclamación, no se adecúa a lo estipulado en el Artículo 13 de la RGPD. III Tipificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD implica la comisión de la infracción tipificada en el artículo 83.5.
17. b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)(...)
19. b)Los derechos de los interesados a tenor de los artículos 12 a 22;” A los meros efectos de prescripción, el artículo 72.1 LOPDGDD-Infracciones consideradas muy graves- dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:" El artículo 72.1, en su apartado h), de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. IV Propuesta de sanción por la infracción del artículo 13 del RGPD Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
20. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se consideran pertinentes para este caso las previsiones del artículo 83.2 del RGPD en sus apartados a): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
21. a)a
22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; (…)
24. b)la intencionalidad o negligencia en la infracción;
25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
29. g)las categorías de los datos de carácter personal afectados por la infracción;
30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del Artículo 13 del RGPD tipificada en el Artículo 83.5 del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 600,00€ (seiscientos euros) V Adopción de Medidas Una vez confirmada la infracción, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
34. d)del RGPD, según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En atención a los hechos descritos, se impone a EDITAURI la medida consistente en actualizar, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, su página web https://edicionesauri.com/, incorporando toda la información requerida por el artículo 13 del RGPD para la recogida de datos del interesado. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a EDITAURI S.L., con NIF B56570039, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de seiscientos euros (600 euros). SEGUNDO: ORDENAR a EDITAURI S.L., con NIF B56570039, que en virtud del artículo 58.2.
35. d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber incorporado en su página web https://edicionesauri.com/, toda la información requerida por el artículo 13 del RGPD para la recogida de datos del interesado. TERCERO: NOTIFICAR la presente resolución a EDITAURI S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
37. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es