← España

PS-00200-2021

1/9  Procedimiento Nº: PS/00200/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: La Unión Asociativa de Valencia UNAE, con NIF G46421673, en nombre y representación de Dña. A.A.A. (en adelante, la reclamante) con fecha 18 de febrero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.1 (en adelante, la reclamada). La reclamante manifiesta que en la web ***URL.1 (página de citas con carácter sexual) aparecen fotos de personas que no se corresponden con los números de teléfono de contacto de éstas y que la reclamante está siendo víctima directa de estos hechos. Las imágenes con los números de contacto siguen en activo en ***URL.1/CATCHICAS que cualquier persona puede publicar un anuncio sin que exista ningún control de verificación de personalidad, vía claves pin al móvil introducido para darse de alta. Además, el formulario de contacto de la web, ubicado en ***URL.1/CONTACTO es un contacto falso. Solicita se cierre esta página web y que se supriman los números de teléfono, en concreto el de la reclamante ***TELEFONO.1. Y, entre otra, aporta la siguiente documentación:  Captura de pantalla de anuncio en la url ***URL.1 donde consta el nombre de “Katy”, una fotografía de tipo sexual y el número de teléfono de la reclamante.  Copia de política de privacidad ubicada en la url ***URL.1/POLÍTICA_DE_PRIVACIDAD donde consta en el apartado “DESTINATARIOS” que “Los datos se comunicarán a la empresa ***EMPRESA.1 con quien ***URL.1 tiene contratados sus servicios virtuales,…”  Copia de correo electrónico remitido por “***EMPRESA.1,” en fecha 13 de febrero de 2020 a las 12:06 h, en el que consta el siguiente texto: “Dear Ladies and Gentlemen, Further to your enquiry we would like to inform you that we have taken note oft he circumstances as described by yourself and that we have taken the measures as requested. Please understand that for data protection reasons we are unable to give you any more information. With kind regards from Berlin, ***EMPRESA.1” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9  Copia de correo electrónico remitido por A.A.A.@GMAIL.COM, de fecha 13 de febrero de 2020 a las 13:13h, en el que consta el siguiente texto: “Dear Sir or Madam, Thank you so much for your answer and for having taking actions quickly. How can you unable this site to indicate again new phone numbers without a verification code? Can they do it again? You have to alert the website that is not doing things right, they are doing illegal things and they need to create a verification code if they ask for a number or email to double check identity. The police in Spain will investigate them so they better stop doing this type of illegal procedures. I remain at your disposal for any further information. Thank you. Kind regards, A.A.A.”  Copia de correo electrónico en el que consta el siguiente texto: “Hello, I continue seeing my phone number associated to the profile. Bottom- Left as shown in the image. You just have to situate the mouse where it says "LLAMAR" and it appears. When do you think this will be solved? Thank you, A.A.A.”  Copia de correo electrónico remitido por ABUSESERVER@***EMPRESA.1.DE a A.A.A.@GMAIL.COM con fecha 13 de febrero de 2020 a las 13:50:51 en el que consta el siguiente texto: “ Dear Ladies and Gentlemen, the problems will be solved shortly, please be patient With kind regards from Berlin, ***EMPRESA.1”  Copia de atestado 940/20 de la Dirección General de la Policía en el que comparece la reclamante, con fecha 12 de febrero de 2020, con las siguientes manifestaciones entre otras:

  1. a)Que su teléfono es el ***TELEFONO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9
  2. b)Que con fecha 11/02/2020 sobre las 10:00 recibió WhatsApp de una persona a la que no conoce con número de teléfono ***TELEFONO.2 que le escribió “Hola Katy te he visto en ***URL.1 y me gustaría quedar contigo”.
  3. c)Que el mismo día sobre las 20:00 recibe la llamada de otra persona desconocida con número de teléfono ***TELEFONO.3.
  4. d)Que entrando en el perfil falso se puede contactar por vía WhatsApp o telefónica con la reclamante.
  5. e)Que en el perfil falso donde aparece su teléfono se puede ver una persona desnuda la cual desconoce, haciéndose llamar Katy.
  6. f)Que la denunciante intentó contactar con el servicio de atención al cliente de la página web, la cual al parecer tiene un correo electrónico que no existe ya que le devuelven los correos.
  7. g)Que la denunciante manifiesta que no se ha registrado nunca en ninguna página de este tipo.  Copia de atestado 1008/20, de la Dirección General de la Policía en el que comparece la reclamante, con fecha 14 de febrero de 2020, y realiza las siguientes manifestaciones, entre otras:
  8. a)Que la reclamante se pone en contacto con otro número de teléfono de una mujer que aparece en la página web ***URL.1 para comprobar si ese número corresponde con la persona de la foto, manifestando que ese número pertenece a una persona que dice llamarse C.C.C., con número de teléfono ***TELEFONO.4.
  9. b)Que la reclamante realizó una segunda llamada a otro número de teléfono de una mujer que aparece en la página web ***URL.1 manifestando que ese número pertenece a una mujer de 80 años que tampoco ha dado su consentimiento ni tiene constancia de esa página web. SEGUNDO: De conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, en fecha 9 de marzo de 2020 se firma el acuerdo de admisión a trámite de la presente reclamación. TERCERO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es la reclamada. Con fecha 02/06/2020 se comprueba respecto a la web ***URL.1: Que en la política de privacidad no consta el responsable de la web. Con fecha 03/06/2020 se comprueba respecto a la web ***URL.1: Que el resultado de la consulta de la url ***URL.1 es una página en blanco. Con fecha 16/06/2020, OVH HISPANO, S.L. remite a esta Agencia la siguiente información y manifestaciones: Que la persona que ha realizado la contratación del servicio ***URL.1 es B.B.B.. El 30 de marzo de 2021 se consulta en el INE (padrón) la dirección postal de la reclamada. En la fecha anterior, se remite requerimiento de información a la reclamada. La notificación se realiza por correo postal y figura con el estado “dirección incorrecta” por el servicio de correos con fecha 14 de abril de 2021. Con fecha 23 de abril de 2021, la Agencia Tributaria Servicio de Planificación y Relaciones Institucionales remite a esta Agencia información del domicilio fiscal de la reclamada, siendo distinta a la anterior. En la misma fecha, se remite requerimiento de información a la reclamada. La notificación se realiza por correo postal. CUARTO: Con fecha 10 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  10. a)del citado RGPD. QUINTO: Habiendo sido notificado el acuerdo de inicio del presente procedimiento sancionador tanto a través del servicio de correos, como del tablón de anuncios del BOE, el 24 de mayo y el 14 de junio del 2021. SEXTO: Notificado formalmente el acuerdo de inicio, la reclamada al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  11. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 HECHOS PRIMERO: Consta que en la web ***URL.1 (página de citas con carácter sexual) aparecen fotos de personas que no se corresponden con los números de teléfono de contacto de éstas y que la reclamante está siendo víctima directa de estos hechos. Las imágenes con los números de contacto siguen en activo en ***URL.1/CATCHICAS que cualquier persona puede publicar un anuncio sin que exista ningún control de verificación de personalidad, vía claves pin al móvil introducido para darse de alta. Además, el formulario de contacto de la web, ubicado en ***URL.1/CONTACTO es un contacto falso. SEGUNDO: Se constata en la captura de pantalla de anuncio en la url ***URL.1 que consta el nombre de “Katy”, una fotografía de tipo sexual y el número de teléfono de la reclamante. TERCERO: El 10 de mayo de 2021, se inició este procedimiento sancionador por la infracción del artículo 6 del RGPD, siendo notificado. No habiendo efectuado alegaciones, la reclamada, al acuerdo de inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 La infracción de la que se responsabiliza a la entidad reclamada se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  15. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III La documentación que obra en el expediente ofrece evidencias que la reclamada vulneró el artículo 6.1 del RGPD, por falta de legitimación en el tratamiento del dato del teléfono de la reclamante, asociado a una imagen de otra persona y a unas citas no consentidas, sin que haya acreditado que cuente con la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento será lícito si “
  16. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”. Está claro, que la reclamada publicó un anuncio en un portal web de contactos, con carácter sexual, conteniendo el teléfono de la reclamante, asociado a una imagen y a unas citas no consentidas, tratamiento de datos de la reclamante que realizo sin legitimación para ello. Así pues, se estima que los hechos que se someten a la valoración de esta Agencia son constitutivos de una infracción del art. 6.1. IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  17. a)a
  18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  20. b)la intencionalidad o negligencia en la infracción;
  21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  25. g)las categorías de los datos de carácter personal afectados por la infracción;
  26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  30. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  32. a)El carácter continuado de la infracción.
  33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  35. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  37. f)La afectación a los derechos de los menores.
  38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
  39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos a efectos de fijar el importe de la sanción de multa a imponer a la reclamada, como responsable de una infracción tipificada en el artículo 83.5.
  40. a)del RGPD se estiman concurrentes los siguientes factores: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicio que hayan sufrido (art. 83.2 a). - La intencionalidad en la comisión de la infracción (art. 83.2 b). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2.000 euros (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B., con NIF ***NIF.1. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  41. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  42. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.