1/6 938-0419 Procedimiento Nº: PS/00131/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00131/2019, instruido por la Agencia Española de Protección de Datos, a D. A.A.A., con NIF ***NIF.1 (en adelante “la persona reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 05/10/18, por parte de la Directora de la Agencia Española de Protección de Datos, se insta a la Subdirección General de Inspección de Datos a realizar actuaciones de oficio a la empresa titular de la página web www.datalex.es, con objeto de determinar si los tratamientos de datos personales que realiza cumple con lo establecido en la normativa vigente en relación con el tratamiento de los datos de carácter personal. SEGUNDO: Con fecha 08/10/18, se requiere a la entidad que gestiona el dominio de la web indicada, SOLUCIONES CORPORATIVAS IP, S.L. (SCIP), para que informe a esta Agencia sobre el titular del dominio datalex.es. TERCERO: Con fecha 20/10/18, la entidad SCIP remite escrito a esta AEPD, indicando que los datos del dominio datalex.es, que disponen son: ID: AMM-280849” es: A.A.A.; ***NIF.1 ***EMAIL.1; con domicilio: ***DIRECCION.1. Fecha de Alta: 05/12/16 y Fecha de Caducidad: 05/12/19. Agente Registrador: SCIP. CUARTO: Con fecha 31/10/18, se requiere a la persona reclamada, para que, en el plazo de diez días hábiles, informase a la AEPD sobre: “el tratamiento que se realiza con los datos que se obtienen del formulario existente en la página web www.datalex.es, de la que es titular; los canales que utiliza para publicitar los servicios que se ofrecen en dicha página, indicando en cada uno de los casos, el origen de los datos de los destinatarios de la información; especificación del procedimiento por el que se facilita a las personas que facilitan sus datos en el citado formulario la información a la que hace referencia el art. 13 del RGPD y especificación del uso de información sobre las mismas”. QUINTO: Según Certificado emitido por la Sociedad Estatal Correos y Telégrafos, S.A., dicho requerimiento fue enviado a la Dirección: ***DIRECCION.1; con destinatario: D. A.A.A., resultando entregado el 20/11/18 a las 18:39, por el empleado 221108, y teniendo como receptor del mismo, a Dª B.B.B.. ***NIF.2. SEXTO: Con fecha 02/04/19, al no haber recibido ningún tipo de información por parte de la persona reclamada, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra el reclamado, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 83.5.
- e)del RGPD y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es considerada muy grave en el 72.1.m y ñ) de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de 3.000 euros (tres mil euros). SÉPTIMO: Notificado el acuerdo de inicio de expediente sancionador, el reclamado, mediante escrito de fecha 17/04/19, formuló, en síntesis, las siguientes alegaciones: “I.- Debido a que la página web www.datalex.es, siendo de mi titularidad, jamás ha ofertado ningún tipo de servicio, ni recopilado datos de terceros ni propios, no ha sido necesario notificar ante la AEPD, al no realizar ningún tratamiento de datos. II.- Es una página no operativa, siendo utilizada de pruebas para la creación nuevos iconos, pruebas de formularios de contacto, adhesión de redes sociales, etc. III.- Datalex, no es una sociedad existente, ni registrada en ningún registro público, ya que como reitero, es una sociedad futura, actualmente no existente. IV.- En ningún momento se han recopilado datos ni ofertado servicios a terceros, debido a que es una página offline, siendo el formulario de contacto no recopilatorio de datos de terceros, retirado y no disponible en la web. V.- No se utilizan Cookies, ni propias ni de terceros, debido a que el acceso a la misma, no está operativo, excepto de forma puntual y por períodos de tiempo mínimos, para visualizar como quedaría un determinado plugin. VI.- El Aviso Legal utilizado, es una plantilla redactada por mí, de forma como dicen genérica, no para el uso de esta web, adaptado al nuevo RGPD y modificada de acuerdo con las nuevas estipulaciones que realiza vuestra AGPD. VII.- Reiterar, que el carácter de la página web no es económico, no habiéndose recopilado ningún dato de tercero, y no habiendo informado a la AEPD, debido a que tiene carácter únicamente de aprendizaje personal, no teniendo ánimo de lucro, ni habiéndose indexado, ni contar con ningún tipo de información. IX.- La notificación efectuada en fecha 31/10/18, no ha sido recogida por mi persona, desconociendo totalmente esa información, siendo mi carácter como aprendiz en esta materia, recopilar todo lo necesario, para en un futuro cuando exista la sociedad descrita, facilitarles toda la información necesaria para cumplir con lo establecido en el RGPD, así como en la actual LOPDDGG. OCTAVO: Con fecha 13/05/19, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/6948/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/131/2019, presentadas. NOVENO: Con fecha 11/06/19, se notifica la propuesta de resolución, consistente en que, por la Directora de la Agencia Española de Protección de Datos se proceda sancionar con apercibimiento al reclamado, argumentándolo, esencialmente en que: “En el mes de octubre de 2018 se observa que en la página web www.datalex.es, se ofrecen servicios de adaptación a la LOPD y al RGPD previo registro de los datos personales, e incluye una leyenda informativa en la opción “Aviso Legal”, pero no 3/6 ofrece ninguna información adicional al respecto. Requerido el titular de la página web para que informe a esta Agencia, éste hace caso omiso del requerimiento y no es hasta que recibe la incoación del expediente sancionador, con una sanción de 3.000 euros, cuando envía a esta Agencia, información aclarando los hechos. Se ha constatado además que, con fecha 16/05/19, la página web investigada ya no existe, apareciendo en su lugar el mensaje de, “Este dominio ha sido registrado por medio del agente registrador DonDominio.com”. Todo lo expuesto puede suponer una inflación al RGPD, al no haber facilitado a esta Agencia, en el periodo concedido para ello, los documentos e informaciones que se le requirieron. Información que si que fue enviada a esta Agencia cuando se le notificó al titular de la página web la incoación del expediente sancionador. El incumplimiento de esa obligación comporta la comisión de la infracción tipificada en el art. 83.5.
- e)del RGPD. No obstante, advirtiendo que el titular de la citada página web es una persona física, se atiende a lo estipulado en el considerando 148 del RGPD para la presente propuesta”. DÉCIMO: Notificado la propuesta de resolución, la persona reclamada NO presenta ningún tipo de alegaciones a la misma, dentro del periodo concedido a efecto. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada, han quedado acreditados los siguientes puntos: HECHOS PROBADOS 1º Con fecha 05/10/18, la Subdirección General de Inspección de Datos de la AEPD, constata que en la página web www.datalex.es se ofrecen servicios de adaptación a la LOPD y al RGPD, e incluye una leyenda informativa en la opción “Aviso Legal”, pero no ofrece ninguna información adicional. Se trata de una leyenda genérica, donde no están cumplimentados los datos de identificación del titular por lo que se inician actuaciones de oficio en esta AEPD para determinar si el tratamiento de los datos personales que la empresa titular de la página web realiza al recopilar los mismos en el formulario que aparece, cumple o no con lo estipulado en la normativa vigente. 2º Con fecha 08/10/18, se requiere a la entidad que gestiona el dominio de la página web indicada, SOLUCIONES CORPORATIVAS IP, S.L. (SCIP); para que informe a esta Agencia sobre el titular del dominio datalex.es. 3º Con fecha 20/10/18, la entidad SCIP informa que el titular del dominio datalex.es corresponden a D. A.A.A. ***NIF.1 (persona física). 4º Con fecha 31/10/18, se requiere al titular de la página para que, en el plazo de diez días, informe a esta Agencia del tratamiento que se realiza con los datos persona que obtiene del formulario existente en la página web y que especifique del uso que realiza de los Cookies. 5º El citado requerimiento fue notificado con fecha 20/11/18, en la Dirección: ***DIRECCION.1; dirección aportada por la entidad SCIP, firmando el acuse de recibo Dª B.B.B.. ***NIF.2, según certificado del servicio de Correos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6º Al no recibir en esta Agencia ningún tipo de información, dentro del plazo concedido para ello, con fecha 02/04/19, se inicia procedimiento sancionador contra el titular de la página web indicada por inflación del art. 83.5.
- e)del RGPD 7º Al ser notificado el reclamado, en el domicilio indicado anteriormente, de la incoación de expediente sancionador, éste, con fecha 17/02/19, remite escrito a esta Agencia alegando, en esencia que: “datalex” no es ninguna sociedad mercantil; no está registrada en ningún sitio; que dicha página web, es una página de pruebas donde no se recopilan datos personales ni de ningún tipo no utilizándose cookies. 8º Con fecha 16/05/18 se comprueba que la página web www.datalex.es ya no existe y que en su lugar aparece un mensaje de, “Este dominio ha sido registrado por medio del agente registrador DonDominio.com”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación de la persona reclamada, que ha quedado reflejada en los hechos declarados probados. En el supuesto presente, aunque se requirió al titular de la página web, datalex.es para que informase a esta Agencia sobre el tratamiento que se realizaba con los datos personales que presuntamente obtenía del formulario existente en dicha página y que especificase el uso que realizaba de las cookies, éste hizo caso omiso a dicho requerimiento, por lo que se inició procedimiento sancionador por inflación del art. 83.5.
- e)del RGPD. No obstante, al ser notificado de la incoación de expediente sancionador, la persona reclamada remitió escrito a esta Agencia informando de las características de la página, alegando en esencia que, dicha página web no pertenecía a ninguna sociedad mercantil; no estaba registrada en ningún sitio y que era una página de pruebas a nombre de una persona física. Además, durante el procedimiento sancionador se ha comprobado en varias ocasiones que la página web en cuestión, www.datalex.es, ya no existe y que en su lugar 5/6 aparece el mensaje de: “Este dominio ha sido registrado por medio del agente registrador DonDominio.com”. III Todo lo expuesto podría suponer una infracción al RGPD, al no haber facilitado a esta Agencia, en el periodo concedido para ello, los documentos e informaciones que se le requirieron. Información que si fue enviada a esta Agencia cuando se le notificó al titular de la página web la incoación del expediente sancionador. El incumplimiento de esa obligación comporta la comisión de la infracción tipificada en el art. 83.5.
- e)del RGPD. No obstante, advirtiendo que el titular de la citada página web es una persona física y que la página web en cuestión ya no existe a fecha de hoy, se atiende a lo estipulado en el considerando 148 del RGPD, donde indica que: “A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías”, se procede a emitir la siguiente Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: SE ACUERDA: APERCIBIR: a D. A.A.A. por la infracción del art. 83.5.
- e)RGPD, al no haber facilitado a esta Agencia, en el periodo concedido para ello, los documentos e informaciones que se le requirieron, siendo sancionable de conformidad con el art. 58.2 RGPD. NOTIFICAR: el presente Acuerdo a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos