1/4 Procedimiento Nº: PS/00221/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00221/2019, instruido por la Agencia Española de Protección de Datos, a la entidad PIZZERIA LA RUSTICA, titular de la página web: ***URL.1, (en adelante, “la entidad reclamada”), vista la denuncia presentada por A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 17/11/18, el reclamante, presentó escrito ante esta AEPD, en la que, entre otras, indicaba: “La web ***URL.1, no sólo me ha localizado ilícitamente a través de cookies o rastreando mi IP, sino que además no contiene NINGÚN TIPO DE POLÍTICA DE PRIVACIDAD, conforme a la legislación vigente”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 01/02/19, se dirige un requerimiento informativo a la entidad reclamada. Según certificado del El Servicio de Correos, el requerimiento enviado a la entidad reclamada fue devuelto a origen, con fecha 12/02/19, con la anotación de “ausente del reparto” y “no recogido del servicio de lista”. TERCERO: Consultada la página web ***URL.1, con fecha 06/09/19, se observa que para realizar un pedido se debe introducir los datos personales de: “nombre y/o email”, no existiendo ningún tipo de banner o link a la “política de privacidad”, donde se informe del tratamiento de datos personales que la entidad realiza conforme lo estipulado en el RGPD. CUARTO: Con fecha 25/09/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 13 del RGPD, considerada muy grave, a efectos de prescripción, en el 72.1.
- h)de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 09/10/19, formuló, en síntesis, las siguientes alegaciones: “Que debido a problemas con la empresa diseñadora de la página Web, se había omitido la inclusión en la página Web ***URL.1 del clausulado de la Política de Privacidad, Aviso Legal, Políticas de Cookies y Condiciones Generales de Contratación, tal como indica la normativa vigente Ley 34/2002 de 11 de julio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 servicios de la sociedad de la información y de comercio electrónico y que para atender dicho requerimiento se pasa a detallar las actuaciones llevadas a cabo: 1.- Se ha procedido actualizar la página Web ***URL.1, de acuerdo a la normativa mencionada anteriormente, incorporando en su página Web, el Aviso Legal, clausulado de Política de Privacidad, Condiciones Generales de Contratación y Políticas de Cookies. 2- Se ha procedido a cumplir según indicaciones de la A.E.P.D. con lo estipulado en el Art. 13 del RGPD. 3- Que se facilita la URL de la dirección Web para que puedan comprobar que la página web ***URL.1, cumple lo indicado en los anteriores puntos expuestos”. SEXTO: Con fecha 22/11/19, se notifica a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento sancionador al no existir vulneración de lo estipulado en el RGPD, al haber constatado que en página web de la entidad reclamada ***URL.1, existe un link a su “política de privacidad” donde se informa al cliente del responsable del tratamiento, su identidad y los datos de contacto, los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento, así como, los derechos de acceso, rectificación, limitación del tratamiento, portabilidad, oposición al tratamiento y supresión de los datos, ante quién realizarlo y cómo realizarlo. SÉPTIMO: Notificada la propuesta de resolución, la entidad reclamada no presenta alegaciones a la propuesta en el periodo concedido al efecto. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1.- Con fecha 11/11/19, se constata que en la página web ***URL.1, en link a la política de privacidad se ofrecen la siguiente información: “En cumplimiento del Reglamento General de Protección de Datos (UE) 201 61679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y la ley orgánica 312018 de 5 de diciembre de Protección de Datos Personales y de Garantía delos Derechos Digitales le informamos que los datos por Vd. proporcionados serán objeto de tratamiento por parte de B.B.B. con NIF ***NIF.1, con domicilio en ***DOMICILIO.1, con la finalidad de prestarle el servicio solicitado y/o contratado, realizarla facturación del mismo. La base legal para el tratamiento de sus datos es la ejecución del servicio por usted contratado y la solicitado. La oferta prospectiva de productos y servicios está basada en el consentimiento que se le solicita, sin que en ningún caso la retirada de este consentimiento condicione la ejecución del contrato. Los datos proporcionados se conservarán mientras se mantenga la relación comercial o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 durante los años necesarios para cumplir con las obligaciones legales. Los datos no se cederán a terceros salvo en los casos en que exista una obligación legal. Usted tiene derecho a obtener confirmación sobre si B.B.B. está tratando sus datos personales y por tanto tiene derecho a ejercer sus derechos de acceso, rectificación, limitación del tratamiento, portabilidad, oposición al tratamiento y supresión de sus datos así como el derecho a presentar una reclamación ante la Autoridad de Controla mediante escrito dirigido a la dirección postal arriba mencionada o electrónica ***EMAIL.1, adjuntando copia del DNI en ambos casos. Asimismo, le solicitamos su autorización para ofrecerle productos y servicios relacionados con los solicitados, prestados como comercializados por nuestra entidad y poder de esa forma lidelizarle como cliente” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, se ha constatado que la página web reclamada ***URL.1, posee un link a su “política de privacidad” donde se informa al cliente del responsable del tratamiento, su identidad y los datos de contacto, los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento, así como, los derechos de acceso, rectificación, limitación del tratamiento, portabilidad, oposición al tratamiento y supresión de los datos, ante quién realizarlo y cómo realizarlo. En definitiva, de la información aportada por la entidad a esta Agencia en las alegaciones a la incoación del expediente, se desprende que los hechos relatados no resultan contrarios a lo estipulado en el artículo 13 del RGPD, en relación con el tratamiento de los datos. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: ARCHIVAR: el procedimiento PS/00221/2019, iniciado a la entidad PIZZERIA LA RUSTICA, titular de la página web ***URL.1, por presunta infracción al artículo 13 del RGPD. NOTIFICAR: el presente Acuerdo a la entidad, PIZZERIA LA RUSTICA. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es