PS-00160-2020

1/7 Procedimiento Nº: PS/00160/2020  RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 27/08/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LA PASTORA DE GREDOS, S.L. con NIF B05132899 (en adelante, el reclamado). Los motivos en que basa la reclamación son: que el 18/08/2019, en el Hostal "La Pastora" solicitó el libro de reclamaciones para presentar una queja sobre el trato recibido en dicho Hostal; que tras rellenar el documento en el que aparecen sus datos de carácter personal se incumple la LOPDGDD al no facilitarse cláusulas informativas relativas a información básica (identidad del responsable del tratamiento, la finalidad del tratamiento, la posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679), ni por supuesto la información adicional; que la página web de dicho establecimiento tampoco tiene la política de privacidad publicada en dicha web. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 28/10/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al afectado de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - La decisión adoptada a propósito de esta reclamación. - En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 02/12/2019 el reclamado respondía al requerimiento de información de la AEPD señalando que el reclamante no ha sido cliente ni ha contratado nunca ningún servicio con el citado establecimiento; que no se aporta nada que acredite sus manifestaciones sobre una relación contractual con el establecimiento reclamado; que el reclamante no fue nunca cliente del hostal, ni ha tenido ninguna habitación reservada previamente, queriéndose aprovechar de una circunstancia, la reserva por un tercero que ya se había realizado, pagado y extinguido, para intentar no pagar y dormir gratis; que previamente a esta reclamación ante la AEPD, nos ha llegado también otra reclamación ejercitada ante otro organismo que ha sido archivada; que en lo relativo a que la página web del establecimiento no tiene la política de privacidad, es falso y denota que no ha utilizado la página web, puesto que existe una pestaña que contiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 el aviso legal y la política de privacidad, siendo necesario siempre que se intenta reservar y antes de rellenar los datos personales, hay que aceptar la política de privacidad. TERCERO: El 02/06/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 23/06/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, sancionada conforme a lo dispuesto en el artículo 58.2.

1. b)del RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado en echa 08/07/2020 solicito copia del expediente y ampliación del plazo para alegaciones; copia que le fue remitida y el plazo ampliado. El 29/07/2020 el reclamado presento escrito de alegaciones manifestando en síntesis lo siguiente: que en la información aportada el 26/11/2019 la página web de la reclamada siempre ha contenido pestaña con aviso legal y política de privacidad y como requisito para reservar aceptar la misma; que siempre ha sido intención de la empresa dar riguroso cumplimiento a la normativa en materia de protección de datos y que, no obstante, se ha procedido a ampliar y reforzar dicha política de privacidad detallando más exhaustivamente lo establecido en el artículo 13 del RGPD; considera ausencia de culpabilidad y voluntad de infringir la norma lo que conlleva a la exclusión de responsabilidad. SEXTO: Con fecha 17/08/2020 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/09828/2019. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00160/2020 presentadas por LA PASTORA DE GREDOS, S.L., y la documentación que a ellas acompaña. SEPTIMO: En fecha 09/10/2020, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, con una sanción de apercibimiento de conformidad con el artículo 58.2 del RGPD. A fecha de la presente Resolución el reclamado no había presentado escrito de alegaciones a la citada Propuesta. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 HECHOS PROBADOS PRIMERO: El 27/08/2019 el reclamante presento escrito ante la Agencia Española de Protección de Datos, contra el reclamado señalando que el 18/08/2019 le solicitó el libro de reclamaciones para presentar una queja sobre el trato recibido en dicho Hostal y tras rellenar el documento en el mismo se incumple la normativa sobre protección de datos al no facilitarse información básica sobre la misma, ni por supuesto la información adicional; que la página web de dicho establecimiento tampoco contiene política de privacidad. SEGUNDO: Consta aportada Hoja de Reclamación dirigida al Servicio Territorial de Cultura y Turismo de la Junta de Castilla y León, Consejería de Cultura y Turismo, Dirección General de Turismo y el archivo de la misma por el citado servicio. TERCERO: Consta aportada impresión de pantalla de la página web de la entidad contiene pestaña sobre política de privacidad; figura epígrafe “Protección de datos de carácter personal según la LOPD”; su contenido no hace referencia al nuevo RGPD. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados se materializan en que la página web del establecimiento reclamado no se encuentra adaptada ni incluye la información alguna en el sentido señalado por el artículo 13 del RGPD. El artículo 13 determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En el presente caso, se imputa al reclamado la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
14. b)y una sanción de apercibimiento de conformidad con el artículo 58.2 del RGPD. Como ha quedado acreditado en los hechos probados a través de la impresión de pantalla de la página web aportada por la propia reclamada ya que si bien contenía política de privacidad, pestaña con epígrafe “Protección de datos de carácter personal según la LOPD”, su contenido no estaba adaptado al nuevo RGPD. No obstante, con la finalidad de aclarar los términos de la reclamación presentada el 27/08/2019 que había propiciado la apertura del presente procedimiento sancionador, el reclamado mediante escrito de 29/07/2020 ha aportado detalle de la información que se facilita a los usuarios a través de su página web, acreditando entender cumplidos cada uno de los requisitos establecidos en el nuevo Reglamento europeo, aportando información de la política de privacidad y aviso legal adaptado a la nueva normativa en materia de protección de datos, en concreto al artículo 13 del citado Reglamento. Por tanto, a la luz de lo señalado, no procede instar la adopción de medidas adicionales, al haber quedado acreditado, que el reclamado ha adoptado las medidas oportunas al haberse incorporado a su página web cláusula informativa, aviso legal y política de privacidad, de conformidad con lo señalado en la nueva normativa. IV El artículo 83.5.
15. b)del RGPD, considera que la infracción de “los derechos de los interesados a tenor de los artículos 12 a 22”, es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
16. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)” No obstante, el artículo 58.2 del REPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7
17. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
18. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. En el supuesto que nos ocupa, el presente procedimiento sancionador ha quedado acreditado que el reclamado no tenía adaptada la información ofrecida en su página web a lo establecido en el RGPD, lo que comporta la infracción a lo dispuesto en el artículo 13 del RGPD. Asimismo, de acuerdo con lo señalado en el artículo 58.2.
19. d)del RGPD, en la resolución podría ordenarse al reclamado la adopción de medidas a fin de que su página web se adapte a lo establecido en el artículo 13 RGPD, debiendo facilitar a los usuarios, en el momento en que recaben los datos personales de los mismos, la información exigida en el citado precepto y evitar que puedan producirse incidencias como la puesta de manifiesto en la reclamación formulada en el presente caso, así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. Sin embargo, como ya se señalaba con anterioridad no procede instar la adopción de medidas al haber quedado acreditado que el reclamado ha adoptado las medidas oportunas al haberse incorporado a su página web cláusula informativa, aviso legal y política de privacidad, de conformidad con lo señalado en la nueva normativa. Por ello, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a LA PASTORA DE GREDOS, S.L., con NIF B05132899, por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
20. b)del RGPD, una sanción de apercibimiento de conformidad con lo señalado en el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a LA PASTORA DE GREDOS, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es