1/4 Procedimiento Nº: PS/00213/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00213/2019, instruido por la Agencia Española de Protección de Datos, a la entidad LOS NIÑOS DE MONTESSORI S.L., con NIF B88155734 (www.montessoritrescantos.com ), (en adelante “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 17/01/19, Dª. A.A.A., (en adelante, “la reclamante”) presenta escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, indica: “Desde que se puso en marcha la Web de http://www.montessoritrescantos.com en junio del 2018, se está incumpliendo con la ley de protección de datos: - Se piden los datos del usuario rellenando un formulario de contacto, pero no se pide la aceptación de la ley de protección de dato. En el apartado: http://www.montessoritrescantos.com/contacto /. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fechas 01/03/19 y 20/03/19, se dirige un requerimiento informativo a la entidad reclamada. Según certificado del El Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento realizado a través de Notific@, con fecha 01/03/19, fue rechazado con fecha 12/03/19. Según certificado del Servicio Postal de Correos, el requerimiento realizado, a través de SICER, con fecha 20/03/19, fue devuelto a origen el 27/03/19, con la anotación de “ausente” y “no recogido del servicio de lista de Correos”. TERCERO: Consultada la página web www.montessoritrescantos.com, con fecha 23/08/19, se observa que, tanto para realizar la reserva de plaza como para ponerse en contacto con la institución “Montessori Tres Cantos”, se debe introducir los datos personales de: “nombre, email y teléfono”, no existiendo ningún tipo de banner o link a la “política de privacidad” de la institución, donde se informe qué tratamiento hace de los datos personales que recaba a través de los formularios. CUARTO: Con fecha 06/09/19, al no haber recibido ningún tipo de información por parte de la persona reclamada, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra el reclamado, en virtud de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.
- h)de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de apercibimiento, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, argumentándolo, esencialmente en que: “en la página web de la entidad (www.montessoritrescantos.com), no existe ninguna referencia a la normativa sobre protección de datos de carácter personal”. QUINTO: Según certificado del El Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento realizado a través de Notific@, con fecha 09/09/19, fue rechazado con fecha 20/09/19. La entidad reclamada no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- En la página web www.montessoritrescantos.com, de la entidad “Los Niños de Montessori”, tanto para realizar la reserva de plaza como para ponerse en contacto con la institución, se deben introducir datos personales, como el nombre, el correo electrónico y el teléfono, no existiendo ningún tipo de banner o link a la “política de privacidad” de la institución. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, en la página web, de la entidad “Los Niños de Montessori”, tanto para realizar la reserva de plaza como para ponerse en contacto con la institución, se deben introducir datos personales, como el nombre, el correo electrónico y el teléfono, no existiendo ningún tipo de banner o link a la “política de privacidad” de la institución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 III Todo lo expuesto podría suponer una infracción por vulneración del artículo 13) del RGPD, considerada en el artículo 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- a)del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: APERCIBIR: a la entidad LOS NIÑOS DE MONTESSORI SL., por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad LOS NIÑOS DE MONTESSORI SL., para que, en el plazo de un mes desde este acto de notificación, proceda a introducir en su página web (www.montessoritrescantos.com), un banner o link a la “política de privacidad”, donde se informe que tratamiento realiza de los datos personales que recaban a través de su página web. NOTIFICAR la presente resolución a la entidad LOS NIÑOS DE MONTESSORI SL. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es