← España

PS-00163-2021

1/19  Procedimiento Nº: PS/00163/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00163/2020, instruido por la Agencia Española de Protección de Datos a la entidad, BEEPING FULFILMENT S.L. con CIF.: B40617318, titular de la página web, https://www.innova-labb.com/ (en adelante, “la parte reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD), y a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 29/04/20, Dª A.A.A., (en adelante, “la parte reclamante”), remitió a esta Agencia escrito de reclamación, indicando, entre otras, lo siguiente: “La página web https://www.innova-labb.com/ no tiene hecho el RGPD: En el formulario de contacto tampoco tienen una casilla para marcar el haber leído el aviso legal. En el apartado de términos de servicio hace referencia a otra web innovationcenter.es, no a la web innova-labb.com. Veo ausencia de datos legales sobre la web y la aceptación de cookies, donde solamente son nombradas en el apartado de privacidad”. SEGUNDO: Con fecha 01/06/20 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la LPDGDD. TERCERO: Con fecha 04/06/20, la Subdirección General de Inspección de Datos se dirigió requerimiento informativo a la parte reclamada, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. CUARTO: Con fecha 04/06/20, la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación para el esclarecimiento de los hechos reclamados. Así, se pudo comprobar como la página web reclamada (https://www.innova-labb.com/) presentaba las siguientes características: 1.- Consta un formulario de contacto donde se pueden introducir datos personales como el nombre, correo electrónico, número de teléfono y mensaje. 2.- Consta una política de privacidad, donde entre otra, se proporciona información sobre: - la finalidad del tratamiento de datos personales; - sobre el consentimiento; sobre la divulgación; - sobre los servicios de terceras partes; - sobre la seguridad; sobre la política de cookies y - sobre el tiempo de utilización de los datos. No obstante, no consta un apartado relativo a derechos de los usuarios relativos a sus datos personales. Solo se indica que, para anular el consentimiento, se debe contactar a través del correo hola@innovationcenter.es o dirigiéndose a: ***DIRECCIÓN.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 3.- Consta un apartado relativo al “CONSENTIMIENTO” informando de que: “los datos personales serán utilizados para completar una transacción, verificar tu tarjeta de crédito, crear una orden, concertar un envío o hacer una devolución, implicamos que aceptas la recolección y uso por esa razón específica solamente. Si te pedimos tu información personal por una razón secundaria, como marketing, te pediremos directamente tu expreso consentimiento, o te daremos la oportunidad de negarte”. 4.- En el apartado relativo a, “COOKIES” solo consta el mensaje “Aquí tienes una lista de cookies que utilizamos. Las listamos para que puedas elegir si quieres optar por quitarlas o no: _session_id, _shopify_visit, _shopify_uniq, _secure_session_id.” 5.- Al entrar en la web https://www.innova-labb.com y, sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizan las siguientes cookies persistentes: _ga, _gid, _s, _shopify_fs, _shopify_s, _shopify_sa_p, _shopify_sa_t, _landing_page, _shopify_y, _y, _fbp, 6.- Al entrar en la web se visualiza un aviso de primera capa sobre la existencia de navegando, aceptas esto.” -- <<acepto>>, pero no consta la existencia de una “Política de Cookies”. 7.- Que al entrar en la web http://innovationcenter.es/ se redirige a la web https://www.innova-labb.com/password QUINTO: Con fecha 22/06/20, la entidad reclamada, en contestación al requerimiento realizado, remite a esta Agencia la siguiente información y manifestaciones: 1. Que el sitio web https://www.innova-labb.com/ ha cesado a fecha actual su actividad comercial, no siendo posible la compra de productos. Únicamente se ofrece la posibilidad de ponerse en contacto con el servicio de atención al cliente pasa hacer seguimiento de los productos adquiridos y que no se hayan recibido. 2. Que la Política de privacidad se encuentra en todo momento accesible a los usuarios en el footer del sitio web. Se aporta un documento con la Política de Privacidad, donde constan los siguientes apartados: “1. ¿Quién es el responsable del tratamiento de sus datos?”. Constan los datos identificativos y de contacto incluyendo domicilio social del reclamado. “2. ¿Por qué BEEPING está legitimada para llevar a cabo el tratamiento de datos?” “3. ¿Cuáles son las finalidades del tratamiento de sus datos de carácter personal por parte de BEEPING?” “4. Veracidad de los datos facilitados por los usuarios” “5. Conservación de los datos” “6.Derechos del Usuario en relación con sus datos” “8.Seguridad de los datos” “9.Revisión de la Política de Privacidad” “10.Links a páginas web” “11.Preguntas” “12.Aceptación y Consentimiento” 3. Que el aviso de cookies del sitio web se adecúa al modelo de “seguir navegando” proporcionado en la Guía para el uso de las cookies publicada por esta Agencia. Se aporta captura de pantalla del sitio web innova-labb.com donde consta un aviso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 “Utilizamos cookies propias y de terceros para analizar el tráfico en nuestra web mediante la obtención de los datos necesarios para estudiar su navegación. Si continúa navegando, consideramos que acepta su uso, en todo caso su consentimiento puede ser retirado en cualquier momento aquí. Puede obtener más información en la Política de Cookies del menú inferior de la página.” <<No permitir>>, <<Permitir la selección>>, <<Permitir todas las cookies>>, así como cuatro casillas donde es posible seleccionar las siguientes tipologías; “Necesario”,” Preferencias”, ”Estadística”, ”Marketing”. Consta asimismo en el aviso de cookies un desplegable con el texto “Mostrar Detalles”. Aporta captura de pantalla con el aviso de cookies y el desplegable “Mostrar Detalles” desplegado donde constan, para cada tipología de cookies, la descripción, nombre, proveedor, propósito, caducidad y tipo de cada una de las cookies. 4. Que “El Sitio Web, considera una clara acción afirmativa navegar a una sección distinta del sitio web, cerrar el aviso de la primera capa o pulsar sobre algún contenido del servicio, sin que el mero hecho de permanecer visualizando la pantalla, mover el ratón o pulsar una tecla del teclado pueda considerarse una aceptación.” 5. Que la segunda capa de información es la Política de cookies, la cual se encuentra disponible de forma permanente en el sitio web. Se aporta un documento con la Política de Cookies, donde constan los siguientes apartados: “1. ¿Qué son las descripción de cada cookie. “3. ¿Cómo deshabilitar las cookies?”. “4. Cookies en los dispositivos móviles”. “5. Aceptación de cookies”. SEXTO: Con fecha 14/04/21 la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación para el esclarecimiento de los hechos reclamados. Así, se pudo comprobar como la página web reclamada (https://www.innova-labb.com/) presentaba las siguientes características: 1.- Al acceder a la página principal de la web https://www.innova-labb.com, esta redirige directamente a la página https://www.innova-labb.com/password. 2.- Respecto de la obtención y tratamiento de datos personales: Al acceder a la página principal de la web, existe el siguiente texto: “Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: info@innova-labb.com”, pudiendo obtener datos personales de los usuarios a través de este medio. También se pueden obtener datos personales, a través de la opción “submit” e introduciendo la dirección de correo electrónico, para darse de alta en la opción: “Be the first to know when we launch”. Existe la posibilidad de acceder a la “tienda”, a través de la opción “entrar usando contraseña”. 3.- Respecto de la “Política de Privacidad”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 No existe ninguna información sobre la política de privacidad de la página web, 4.- Respecto de la “Política de Cookies”: Al entrar en la página principal de la web, y sin realizar ningún tipo de acción sobre las misma, se comprueba que se utilizan cookies no necesarias, tanto propias como de terceros, cuyos dominios pertenecen a “Google.es”; “Google.com”; “Facebook.com” y “debufity.com”. No existe ningún tipo de banner en esta página que informe sobre la utilización de SÉPTIMO: Con fecha 22/04/21, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la parte reclamada, por infracción del artículo 13 del RGPD por la inexistencia de “Política de Privacidad” en la página, constatando que en la misma sigue existiendo la posibilidad de obtener datos personales de los usuarios, con una sanción inicial de 2.000 euros y por infracción del artículo 22.2) de la LSSI, por la inexistencia de “Política de Cookies”, constatando la utilización de cookies no necesaria, con una sanción inicial de 2.000 euros. OCTAVO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 10/05/21 formuló, en síntesis, las siguientes alegaciones: “Como ya se indicó el día 22 de junio de 2020 a la Agencia Española de Protección de Datos, la página web está inactiva. La empresa lo único que ha dejado es la posibilidad de que antiguos clientes que tengan algún tipo de problema o incidencia puedan contactar de modo alguno con la mercantil. Los valores que representa BEEPING no permiten dejar indefensos a antiguos clientes, y es por ese motivo por lo que en la página web se dejó un apartado donde se podía introducir exclusivamente un correo electrónico con el fin de dar respuesta a posibles incidencias, en ningún momento la empresa ha pretendido continuar con la actividad que venía realizando. Por lo tanto, al no recabar ningún tipo de información personal, no puede ser aplicable el artículo 13 del RGPD. En esta línea de interpretación jurídica, no cabe posibilidad de aplicar el artículo 72.1.

  1. h)del reglamento puesto que no hay tratamiento de datos alguno. La empresa no puede obtener datos personales, tal y como se desprenden de las manifestaciones que dan inicio al presente procedimiento. Cabe recordarle al órgano instructor del procedimiento, que un correo electrónico no se considera como dato personal. La propia Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas, en el artículo 2 3 apartado h), recoge la definición de correo electrónico, entendiendo como “correo electrónico: todo mensaje de texto, voz, sonido o imagen enviado a través de una red de comunicaciones pública que pueda almacenarse en la red o en el equipo terminal del receptor hasta que éste acceda al mismo”. En ningún momento la definición asimila un correo electrónico a los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 En esta misma línea de interpretación, el artículo 4.1) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, define lo que se considera dato personal. En este sentido, se entenderá por datos personales toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Por lo tanto, se puede afirmar y se afirma que la empresa no utiliza ni recaba datos personales de los usuarios puesto que la única información que se podría obtener es un correo electrónico y como ya ha quedado demostrado, la obtención de un simple correo electrónico no se puede considerar dato personal. En relación con lo manifestado por el órgano instructor sobre la posibilidad de “entrar a la tienda, a través de la opción entrar usando contraseña” se ha de manifestar que ningún usuario o cliente puede acceder a la misma. Esa opción exclusivamente está habilitada para el responsable de la tienda. En lo referente a la política de privacidad, ya se aportó a la Agencia Española de Protección de Datos la política que estaba visible y vigente durante el funcionamiento de la página web. En la actualidad, dado que la página está fuera de servicio, el proveedor de la página no proporciona opción alguna de seguir manteniendo el contenido de las políticas. Es más, puesto que no existe ningún tipo de tratamiento de datos personales, no existe obligación legal de mantener las políticas. La empresa en su momento cumplió e informó a los clientes de los derechos que tenían y de cómo podían ejercitarlos. Tal y como se desprende del Reglamento Europeo en su artículo 4.2) se entiende por tratamiento cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción, dado que la página web cerró, la empresa no ha podido realizar ningún tipo de recogida de datos de carácter personal. En relación con la aplicabilidad del artículo 22.2. de la LSSI, se ha de manifestar que no hay infracción alguna puesto que la mercantil no utiliza dispositivos de almacenamiento y recuperación de datos en los equipos. A mayor abundamiento, la ley sigue haciendo referencia a la ya derogada LO 15/1999. 5 El eje vertebrador de la protección de datos gira sobre los datos personales que pueden ser recogidos y tratados, no aplicándose bajo ningún concepto a la situación de mi representado. Con base en todo lo expuesto, entendemos que con el inicio del procedimiento sancionador se está quebrando la verdadera naturaleza que tiene la normativa en materia de protección de datos de carácter personal. El comité Europeo de Protección de datos ya se manifestó en el Dictamen 4/2007 sobre el concepto de datos personales, que “un resultado no deseado sería el de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 terminar aplicando las normas de protección de datos a situaciones que, en principio, no deberían estar cubiertas por estas normas; y para las que no fueron concebidas por el legislador”. En definitiva, de lo que se trata es de una cuestión de proporcionalidad en la aplicación de la normativa que “provoque una carga excesiva o incluso consecuencias absurdas” como ha manifestado el Comité Europeo de Protección de Datos en el Dictamen 4/2007. El acuerdo de Inicio del presente procedimiento basa todos sus argumentos en la utilización por parte de la empresa de datos personales por el mero hecho de poder introducir un correo electrónico. A la vista de los hechos, la empresa no trata ni recaba ningún dato personal. Además, como se ha comentado en reiteradas ocasiones, mi representado no tiene la web activa desde el 22 de junio de 2020 y, por ende, tal y como se manifiesta en el dictamen es innecesario la aplicación de la normativa de Protección de Datos en la situación actual. Es inadmisible que la Agencia Española de Protección de Datos alegue falta de información 10 meses después de 6 haber cerrado mi representado el sitio web. Por lo tanto, entendemos que se está produciendo una indefensión a mi cliente. Mi representado cumplió en todo momento con la normativa legal, dando a conocer a todos los interesados sus derechos, así como el tratamiento de datos personales. La voluntad de este ha sido la de cooperar en todo momento con la Agencia Española de Protección de datos, prueba de ello, la podemos observar en la rápida respuesta tras el primer requerimiento, en el que se aportó toda la documentación necesaria para justificar el cumplimiento de la legalidad. Por todo lo expuesto, SOLICITO que se tenga por presentado en tiempo y forma las alegaciones concernientes al Procedimiento Sancionador Nº PS700163/2021. SOLICITO SEGUNDO. - Que se dé por finalizado el expediente sancionador sin sanción alguna al haber quedado debidamente demostrado que los preceptos a los que se hace referencia en el procedimiento sancionador no son de aplicación al caso concreto”. NOVENO: Con fecha 04/08/21, por parte de esta Agencia, se consulta nuevamente la página web denunciada, https://www.innova-labb.com/, comprobándose en la misma, las siguientes características sobre la política de privacidad y la política de cookies: 1º.- Al entrar en la web, la página muestra el siguiente mensaje: Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: info@innova-labb.com Be the first to know when we launch. <<correo electrónico>> “Submit” Spread the word Compartir en Facebook Twitter Pinterest Esta tienda contará con tecnología Shopify C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 2º.- Sobre el tratamiento de datos personales: a.- En la página web existe la posibilidad de recoger datos personales, en este caso, la dirección del correo electrónico del usuario que desea ponerse en contacto con la entidad. b.- No existe ningún enlace a la política de privacidad de la página web. 3º.- Sobre la “Política de Cookies”: a.- Al entrar en la web https://www.innova-labb.com y, sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizan las siguientes cookies persistentes: _shopify_y; _s; _shopify_sa_p; _shopify_sa_t; _landing_page; _gid; _orig_referrer; _fbp; _ga secure_customer_sig; _shopify_s; _y b.- No existe ningún tipo de banner en la web que informe sobre la utilización de cookies. Tampoco existe ningún enlace que redirija al usuario a la “Política de Cookies”. DÉCIMO: Con fecha 06/08/21, se notifica a la entidad reclamada la propuesta de resolución, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad reclamada, titular de la página web, https://www.innova-labb.com/ con, multa de 2.000 euros (dos mil euros) por la infracción del artículo 13 del RGPD, por la inexistencia de “Política de Privacidad” en la página, constatando que en la misma sigue existiendo la posibilidad de obtener datos personales de los usuarios y con una multa de 2.000 euros (dos mil euros) por infracción del artículo 22.2) de la LSSI, respecto de la inexistencia de “Política de UNDÉCIMO: Notificado la propuesta de resolución, con fecha 19/08/21, la entidad reclamada presenta escrito de alegaciones a la propuesta de resolución, en el cual, entre otras, indica: PRIMERA.- En relación al fundamento de derecho uno utilizado por la AEPD sobre el tratamiento de datos personales y la política de privacidad de la página web indica que “Con fecha 04/08/21, por parte de esta Agencia, se consulta nuevamente la página web denunciada, https://www.innova-labb.com/, comprobándose en la misma que sigue existiendo la posibilidad de recoger datos personales, en este caso, la dirección del correo electrónico del usuario que desea ponerse en contacto con la entidad, no existiendo ningún enlace a la política de privacidad de la página web donde se informe del tratamiento de los datos personales” cabe indicar los siguientes aspectos: 2 1º. Tal y como se indicaba en la página web la misma permanecía inactiva. Por ello, en el hipotético caso que algún usuario accediera a la misma el primer mensaje que vería sería el de la inactividad de la web. Dada la inactividad de la página web, ningún usuario ha podido proporcionar algún dato personal y aún menos cuando el único dato que se podría facilitar es un correo electrónico. Por lo tanto, no cabe el argumento utilizado por la AEPD cuando afirma que lo que importa es el hecho de que sigue existiendo un tratamiento de datos personales a partir de la introducción de la dirección del correo electrónico, puesto que al estar inactiva la página web no hay ningún uso ni tratamiento de datos por parte de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 2º. Respecto a la afirmación de que un correo electrónico es considerado un dato personal y concretamente al apartado 1º del artículo 4 del RGPD al que se hace referencia se puede desprender que para que se tenga la consideración de dato personal la información tiene que identificar claramente a una persona. Partiendo de esta premisa, no se puede afirmar que todos los correos electrónicos que utilizan los usuarios identifican claramente a la persona que los ha creado. Se pueden crear correos electrónicos con una denominación abstracta o con una simple combinación alfanumérica. Bien es cierto que cada correo electrónico pertenece a un dominio, pero dada la aplicabilidad del Reglamento Europeo de Protección de datos, ningún proveedor de servicios o creadores de dominios puede proporcionar dicha información. En este sentido la propia Unión Europea en su página web hace referencia a la cuestión objeto de conflicto estableciendo que se considerará como dato personal cuando el correo electrónico contenga el nombre y los apellidos de una persona. 3 Fuente: https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_es En el apartado de Ejemplos de datos personales el punto tres dice literalmente: “dirección de correo electrónico, del tipo nombre.apellido@empresa.com”. Por lo tanto, se puede concluir que cuando un correo electrónico no contenga el nombre y apellidos de la persona o algún dato que permita identificar claramente a ese titular no se pueda considerar el email como dato personal. Mi representando no pretende eludir la normativa vigente ni eludir responsabilidades, pero iniciar un procedimiento sancionador por meras interpretaciones sin haber demostrado durante todo el procedimiento si los usuarios utilizaban nombres, apellidos o datos personales en sus correos electrónicos, es una clara vulneración de los derechos fundamentales. A mayor abundamiento, aquellos usuarios que dejaron en su momento un email cuando la página web estaba en funcionamiento aceptaron las políticas de protección de datos personales. Esta parte ya aportó al inicio del procedimiento las políticas que estaban vigentes en la página web, así como todos los derechos que tenían los usuarios y donde podían ejercitar los mismos. Desde el inicio del presente procedimiento se está partiendo de una premisa errónea, ya que toda la información en materia de protección de datos que se debe de proporcionar los usuarios es cuando la empresa realice un tratamiento de datos personales, no siendo este el caso. La empresa desde que decidió cerrar la tienda dejó un claro mensaje de inactividad de esta, no realizando ningún tipo de registro de los emails que hubieran podido poner en la misma. Es una página vacía de contenido y sin ninguna utilidad desde el prisma de la sociedad, no quedando ningún tipo de registros. Para que se entienda bien, aunque un usuario decidiera dejar su correo electrónico no quedaría ningún tipo de registro ya que al haber comunicado al proveedor del servicio el cese de la web éste bloquea cualquier tipo de operativa sobre la misma, incluida la de recibir los registros que pudieran hacer los usuarios. No obstante, cabe recordar una vez más que, todas las políticas de protección de datos que, la empresa tenía en la web mientras la página estaba en funcionamiento ya se entregaron en su momento. Todas las políticas estaban disponibles durante el uso de la web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 Desde que se dejó inactiva la página web la empresa no ha llevado tratamiento de datos puesto que en todo momento la web estaba inoperativa. Aunque los usuarios dejaran un email, esos correos no quedaban registrados en ningún lugar puesto que la página estaba fuera de funcionamiento y no se trataba ningún tipo de información personal. Dada la gravedad de la situación y el enorme malentendido surgido la empresa ha exigido al proveedor del servicio que procediera de inmediato a su eliminación por completo. Se adjunta captura de pantalla del estado actual de la página. Tanto el mensaje que salía anteriormente como el actual salen por defecto al dejar inactiva la página web. Desde que la empresa decidió proceder a la inactividad de la página, no se ha llevado ningún tipo de tratamiento de datos personales resultando imposible cualquier tipo de registro o de toma de datos. SEGUNDA.- En relación a la afirmación que se realiza en el fundamento de derecho tercero sobre la política de cookies “la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos” se sigue partiendo de una premisa errónea ya que si no existe tratamiento de datos personales como es el caso que nos atañe, las cookies que la página web pueda tener por defecto no realizan ningún tipo de análisis. En relación con el Banner y a las políticas que deben de figurar en la página web, ya se presentaron al inicio del procedimiento la documentación que estaba vigente durante la utilización de la página web, ahora bien, desde que la compañía decidió dejar la web inactiva el proveedor del servicio (Shopify) no permite introducir ningún tipo de documentación informativa ya que la web es totalmente inservible y no tiene funcionamiento. Con base en todo lo expuesto, entendemos que con el inicio del procedimiento sancionador se está quebrando la verdadera naturaleza que tiene la normativa en materia de protección de datos de carácter personal. TERCERO.- El comité Europeo de Protección de datos ya se manifestó en el Dictamen 4/2007 sobre el concepto de datos personales, que “un resultado no deseado sería el de terminar aplicando las normas de protección de datos a situaciones que, en principio, no deberían estar cubiertas por estas normas; y para las que no fueron concebidas por el legislador”. En definitiva, de lo que se trata es de una cuestión de proporcionalidad en la aplicación de la normativa que “provoque una carga excesiva o incluso consecuencias absurdas” como ha manifestado el Comité Europeo de Protección de Datos en el Dictamen 4/2007. El acuerdo de Inicio del presente procedimiento basa todos sus argumentos en la utilización por parte de la empresa de datos personales por el mero hecho de poder introducir un correo electrónico. A la vista de los hechos, la empresa no trata ni recaba ningún dato personal. Además, como se ha comentado en reiteradas ocasiones, mi representado no tiene la web activa desde el 22 de Junio de 2020 y, por ende, tal y como se manifiesta en el dictamen es innecesario la aplicación de la normativa de Protección de Datos en la situación actual puesto que no existe ningún tipo de tratamiento de datos personales. A mayor abundamiento, es inadmisible que la Agencia Española de Protección de Datos alegue falta de información 10 meses después de haber cerrado mi representado el sitio web. Mi representado cumplió en todo momento con la normativa legal, dando a conocer a todos los interesados sus derechos, así como el tratamiento de datos personales. 7 La voluntad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 este ha sido la de cooperar en todo momento con la Agencia Española de Protección de datos, prueba de ello, la podemos observar en la rápida respuesta tras el primer requerimiento, en el que se aportó toda la documentación necesaria para justificar el cumplimiento de la legalidad. Por todo lo expuesto, SOLICITO que se tenga por presentado en tiempo y forma las alegaciones concernientes al Procedimiento Sancionador Nº PS/00163/2021. Que se dé por finalizado el expediente sancionador sin sanción alguna al haber quedado debidamente demostrado que: 1º. La empresa durante la utilización de la página web, tenía disponibles y accesible para todos los usuarios las políticas de protección de datos, cookies, y aviso de los derechos que tenían los usuarios. 2º. Desde que la empresa decidió cerrar la página web no ha realizado ningún tratamiento de datos. 3º. La empresa ha requerido al proveedor del servicio que eliminara por completo la página web a pesar de la inoperatividad que tenía la misma. DUODÉCIMO: Con fecha 05/10/21, por parte de esta Agencia, se consulta nuevamente la página web denunciada, https://www.innova-labb.com/, comprobándose que la misma ya no existe. En su lugar sale el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. HECHOS PROBADOS 1º.- Según el reclamante, la página web https://www.innova-labb.com, no se ajusta a la legalidad vigente en materia de protección de datos y en materia de cookies. 2º.- Consultada la página web, por parte de esta Agencia, el día 09/04/20, se constataron las siguientes características en la misma, respecto de la política de privacidad y a la política de cookies: - Sobre la recogida de datos personales.- Consta un formulario de contacto en la url: https://www.innova-labb.com/pages/contacto , donde se pueden introducir datos personales como el nombre, correo electrónico, teléfono y mensaje. - Sobre la Política de Privacidad.- Consta una política de privacidad, donde entre otra, se proporciona información sobre, la finalidad del tratamiento de datos personales; sobre el consentimiento; sobre la divulgación; sobre los servicios de terceras partes; sobre la seguridad; sobre la política de cookies y sobre el tiempo de utilización de los datos. No obstante, no consta un apartado relativo a derechos de los usuarios relativos a sus datos personales, solo se indica que, para anular el consentimiento, se debe contactar a través del correo, hola@innovationcenter.es o dirigiéndose a: ***DIRECCIÓN.1” - Sobre la Política de Cookies. - Al entrar en la web sin aceptar cookies ni realizar ninguna acción sobre la web, se comprueba que se utilizan cookies no necesarias. Existe un banner en la página principal con la siguiente información: “Usamos cookies para mejorar la experiencia de navegación, si continúas navegando, aceptas esto.” -- <<acepto>>, pero no consta ningún enlace que redirija a la “Política de Cookies”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 3º.- Según manifestaciones hechas por la entidad reclamada el 22/06/20: - Que el sitio web https://www.innova-labb.com/ ha cesado a fecha actual su actividad comercial, no siendo posible la compra de productos. Únicamente se ofrece la posibilidad de ponerse en contacto con el servicio de atención al cliente pasa hacer seguimiento de los productos adquiridos y que no se hayan recibido. - Que la Política de privacidad se encuentra en todo momento accesible a los usuarios en el “footer” del sitio web. Se aporta un documento con la Política de Privacidad. - Que el aviso de cookies del sitio web se adecúa al modelo de “seguir navegando” proporcionado en la Guía para el uso de las cookies publicada por esta Agencia. - Que la segunda capa de información es la Política de cookies, la cual se encuentra disponible de forma permanente en el sitio web. 4º.- Consultada la página web, por parte de esta Agencia, el día 14/04/21, se constataron las siguientes características en la misma, respecto de la política de privacidad y a la política de cookies: - Respecto de la obtención y tratamiento de datos personales: Al acceder a la página principal de la web, existe el siguiente texto: “Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: info@innova-labb.com”, pudiendo obtener datos personales de los usuarios a través de este medio. También se pueden obtener datos personales, a través de la opción “submit” e introduciendo la dirección de correo electrónico, para darse de alta en la opción: “Be the first to know when we launch”. - Existe la posibilidad de acceder a la “tienda”, a través de la opción “entrar usando contraseña”. - Respecto de la “Política de Privacidad”: No existe ninguna información sobre la política de privacidad de la página web, - Respecto de la “Política de Cookies”: Al entrar en la página principal de la web, y sin realizar ningún tipo de acción sobre las misma, se comprueba que se utilizan cookies no necesarias, tanto propias como de terceros, cuyos dominios pertenecen a “Google.es”; “Google.com”; “Facebook.com” y “debufity.com”. No existe ningún tipo de banner en esta página que informe sobre la utilización de 5º.- Notificado el acuerdo de inicio del presente procedimiento sancionador, el 27/04/21, a la entidad reclamada, ésta alega, en síntesis, que: “La página se encuentra inactiva, según manifestó el día 22 de junio de 2020. La empresa lo único que ha dejado es la posibilidad de que antiguos clientes que tengan algún tipo de problema o incidencia puedan contactar con la entidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 6º.- Ante las alegaciones presentadas por la entidad reclamada a la incoación del expediente, esta Agencia, con fecha 04/08/21, pudo constatar que la web en cuestión poseía las siguientes características sobre la política de privacidad y la política de - Al entrar en la web, la página muestra el siguiente mensaje: Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: info@innova-labb.com Be the first to know when we launch. <<correo electrónico>> “Submit” Spread the word Compartir en Facebook Twitter Pinterest Esta tienda contará con tecnología Shopify - Sobre el tratamiento de datos personales: a.- En la página web existe la posibilidad de recoger datos personales, en este caso, la dirección del correo electrónico del usuario que desea ponerse en contacto con la entidad. b.- No existe ningún enlace a la política de privacidad de la página web. - Sobre la “Política de Cookies”: a.- Al entrar en la web https://www.innova-labb.com y, sin aceptar cookies ni realizar ninguna acción sobre la web, se utilizan las siguientes cookies persistentes: _shopify_y; _s; _shopify_sa_p; _shopify_sa_t; _landing_page; _gid; _orig_referrer; _fbp; _ga secure_customer_sig; _shopify_s; _y b.- No existe ningún tipo de banner en la web que informe sobre la utilización de 7º.- Notificada la propuesta de resolución y ante las alegaciones recibidas por la entidad reclamada a dicha propuesta, se consultó la página web en cuestión el día 05/10/21, constatando que la misma ya no existe. En su lugar sale el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. FUNDAMENTOS DE DERECHO I-Competencia: a).- Con respecto de la infracción cometida al RGPD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en su art. 58.2 del RGPD y en el art. 47 de LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 b).- Con respecto de la infracción cometida a la LSSI, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en su art. 43.1, párrafo segundo. II.- Sobre la afirmación que realiza la entidad reclamada en el sentido de que el correo electrónico, cuando no contenga el nombre y apellidos de la persona o algún dato que permita identificar claramente a ese titular no se puede considerar dato personal. El artículo 4 del RGPD, define el “dato personal”, como: ”toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”; Por tanto, en principio, la dirección de correo electrónico es considerada a todos los efectos como un dato de carácter personal, pues se forma por un conjunto de signos o palabras libremente elegidos por el interesado con la única limitación de que dicha dirección no coincida con la de otra persona quedando, por tanto, totalmente identificada del resto de las personas. Además, hay que tener en cuenta el “Informe 261/2021” del Gabinete Jurídico de la AEPD, que respecto a este dilema indica los siguiente: “(…) El argumentario es el siguiente, dejo una resolución ya antigua, “A la vista de lo anterior, se deduce que la dirección de correo electrónico, considerando que contiene información acerca de su titular, o en la medida en que permita proceder a la identificación del mismo, ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello. La dirección de correo electrónico se forma por un conjunto de signos o palabras libremente elegidos, generalmente por su titular, con la única limitación de que dicha dirección no coincida con la correspondiente a otra persona. Esta combinación podrá tener significado en sí misma o carecer del mismo, atendiendo al grado de identificación del titular de la cuenta de correo que proporcione la dirección de que se trate. Así, existirán supuestos en los que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular que lo identifique, como en el presente caso (algunas de las direcciones están compuestas por nombres y apellidos), en los cuales no existe duda de que dicha dirección ha de ser considerada como dato de carácter personal, o supuestos en los que la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta, de modo que no nos encontramos ante un dato de carácter personal, a no ser que otros datos (dominio, domicilio, etc.), conjunta o separadamente, permitan la identificación del sujeto sin un esfuerzo desproporcionado por parte de quien procede a la identificación, en cuyo caso, la dirección de correo electrónico quedará amparada por el régimen establecido (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 Por tanto, cuando la dirección de correo electrónico contenga información acerca de su titular que lo identifique, como pueda ser el nombre, o cualquier otra combinación de elementos alfanuméricos, en los cuales no existe duda de que dicha dirección pertenece a una determinada persona ha de ser considerada como dato de carácter personal y en aquellos supuestos en los que la dirección de correo electrónico no muestra datos alfanuméricos que los relaciones con la persona titular de la cuenta, no serán considerado un dato de carácter personal, a no ser que se puede deducir la identidad a partir de otros datos, como el dominio, la dirección IP, etc., conjunta o separadamente, y que permitan la identificación del sujeto sin un esfuerzo desproporcionado por parte de quien procede a la identificación, en cuyo caso, esta dirección de correo electrónico también se considerada dato de carácter personal. II- Sobre la “Política de Privacidad” de la página web reclamada. Con fecha 09/04/20, al acceder a la página principal de la web, existía el siguiente texto: “Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: info@innova-labb.com”, pudiendo obtener datos personales de los usuarios a través de este medio. También se observó que se podían obtener datos personales, a través de la opción <<submit>>, introduciendo la dirección de correo electrónico, para darse de alta en la opción: “Be the first to know when we launch”. No obstante, se comprobó que no existía ninguna información sobre el tratamiento los datos personales obtenidos al no existir “Política de Privacidad” en la página web. Notificado el acuerdo de inicio del procedimiento sancionador por los hechos indicados anteriormente, el 27/04/21, a la entidad reclamada, por infracción del artículo 13 del RGPD, con una sanción inicial de 2.000 euros, ésta notificó a la AEPD que “La página se encuentra inactiva, desde día 22 de junio de 2020. La empresa lo único que ha dejado es la posibilidad de que antiguos clientes que tengan algún tipo de problema o incidencia puedan contactar con la entidad”. Consultada la página web el día 05/10/21, se constató que la misma ya no existía. En su lugar sale el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
  2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  3. b)los datos de contacto del delegado de protección de datos, en su caso;
  4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  11. d)el derecho a presentar una reclamación ante una autoridad de control;
  12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, al carecer la página web de su titularidad de la información necesaria sobre la finalidades y características del tratamiento de los datos personales obtenidos en la misma. El artículo 72.1.
  14. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  15. b)del RGPD. Con arreglo a dichos criterios, se estima adecuado imponer al reclamado una sanción inicial de 2.000 euros (dos mil euros), por la infracción del artículo 13 del RGPD, por el tiempo que estuvo la web https://www.innova-labb.com, activa, pudiendo en ese tiempo obtener datos personales de los usuarios sin informarles de los fines y características del tratamiento de sus datos personales. III.-Sobre la “Política de Cookies” de la página web reclamada: Esta Agencia pudo comprobar, el 09/04/20 que, al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, la web utilizaba cookies no necesarias, tanto propias como de terceros, cuyos dominios pertenecían a “Google.es”; “Google.com”; “Facebook.com” y “debufity.com”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Además, en la página inicial no se desplegaba ningún banner con información sobre la utilización de cookies ni existía ningún enlace que redirigiera a la “Política de Cookies”. Notificado el acuerdo de inicio del procedimiento sancionador por los hechos indicados anteriormente, el 27/04/21, a la entidad reclamada, por infracción del artículo 22.2 de la LSSI, con una sanción inicial de 2.000 euros, ésta notificó a la AEPD que “La página se encuentra inactiva, desde día 22 de junio de 2020. La empresa lo único que ha dejado es la posibilidad de que antiguos clientes que tengan algún tipo de problema o incidencia puedan contactar con la entidad”. Consultada la página web el día 05/10/21, se constató que la misma ya no existía. En su lugar sale el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. En este sentido, el artículo 22.2 de la LSSI, establece los Derechos de los destinatarios de servicios de la sociedad de la información, se indica que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Se debe tener presente en este caso, la sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 455/2011, de 29/11/2013, donde se analiza el apercibimiento como un acto de naturaleza no sancionadora, como se deduce del fundamento su derecho SEXTO: “Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la controversia en el presente recurso contencioso-administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD. Pues bien, en el caso que nos ocupa el supuesto concreto, de entre los expresados en el apartado quinto del artículo 45, acogido por la resoluC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 ción administrativa recurrida para justificar la aplicación del artículo 45.6 de la LOPD es el primero, pues aprecia “una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción”, tal y como expresa su fundamento de derecho VII. Por ello, concurriendo las circunstancias que permitían la aplicación del artículo 45.6 de la LOPD, procedía “apercibir” o requerir a la denunciada para que llevara a cabo las medidas correctoras que la Agencia Española de Protección de Datos considerase pertinentes, en sustitución de la sanción que de otro modo hubiera correspondido. No obstante, dado que resultaba acreditado que la parte reclamada por iniciativa propia había adoptado ya una serie de medidas correctoras, que comunicó a la Agencia Española de Protección de Datos, y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras, por lo que no acordó requerimiento alguno en tal sentido. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la Agencia Española de Protección de Datos estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Por el contrario, la resolución administrativa recurrida procedió a “apercibir”, aunque sin imponerle la obligación de adoptar medida correctora alguna, lo que solo puede ser interpretado como la imposición de un “apercibimiento”, entendido bien como amonestación, es decir, como sanción, o bien como un mero requerimiento sin objeto. En el primer caso nos hallaríamos ante la imposición de una sanción no prevista en la LOPD, con manifiesta infracción de los principios de legalidad y tipicidad en materia sancionadora, previstos en los artículos 127 y 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en el segundo supuesto ante un acto de contenido imposible, nulo de pleno derecho, de conformidad con lo previsto en el artículo 62.1.
  16. c)de la Ley.” Esta sentencia interpreta o liga un apercibimiento con el requerimiento de una actuación para subsanar la infracción, y si no existe tal requerimiento, por haberse eliminado la página web, no sería apercibimiento, sino archivo como se deduce del fundamento SEXTO de la Sentencia arriba citada. Por tanto, en el presente caso, después del análisis realizado en la página web objeto de la reclamación, de los documentos aportados y las circunstancias concurrentes, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 se evidencia vulneración de la legislación vigente sobre la política de cookies de la página web reclamada, al haber eliminado la misma de internet. A la vista de lo expuesto se procede a emitir la siguiente: RESUELVE PRIMERO: SANCIONAR a la entidad, BEEPING FULFILMENT S.L. con CIF.: B40617318, titular de la página web, https://www.innova-labb.com/, con una multa de 2.000 euros, (dos mil euros), por la infracción del artículo de artículo 13 del RGPD, al no poseer la web en cuestión de la información necesaria sobre la finalidad y gestión de los datos personales obtenidos en la misma durante el tiempo que estuvo activa SEGUNDO: ARCHIVAR el presente procedimiento a a la entidad, BEEPING FULFILMENT S.L., titular de la página web, https://www.innova-labb.com/, por infracción de artículo 22.2 de la LSSI, en lo que respecta a la política de cookies, al haber eliminado la página web de internet. TERCERO: NOTIFICAR la presente resolución a la entidad BEEPING FULFILMENT S.L, y a la reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  18. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/2021 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.