PS-00277-2020

1/5  Procedimiento Nº: PS/00277/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00277/2020, instruido por la Agencia Española de Protección de Datos, a Dª. A.A.A., NIF.: ***NIF.1, titular de la página web, ***URL.1, (en adelante, “la persona reclamada”), en virtud de denuncia presentada por D. B.B.B., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 19/10/19, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: “He encontrado que en la página web ***URL.1, no existe la información requerida de identificación. La denominación social del titular de la web, ni domicilio, ni datos de contacto, ni el código de identificación fiscal CIF”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 22/07/20, se dirigió escrito de requerimiento de información a la entidad reclamada. TERCERO: Con fecha 05/08/20, la persona reclamada envía a esta Agencia, escrito de contestación al requerimiento, en el cual, entre otras, indica: “El único punto en el que se recogen datos personales es en el formulario de contacto de dicha web, y que en dicho formulario se explica de manera al usuario de manera específica (Documento señalado en el anexo como Numero 1) referencia clara a la finalidad del mismo y un enlace directo al apartado informativo sobre “política de privacidad”. Por tanto, que se da cumplimiento a la norma, al identificar la responsabilidad de MgGestion, al facilitar sus datos de contacto, tanto en dirección postal, como de correo electrónico, y telefónicos. Que se cumple la finalidad, al ser algo que el usuario de manera explícita y voluntaria proporciona, y en la cual se refleja con claridad que no se hará ningún otro uso que el de contestar a lo que se solicite en dicho formulario. Los datos que se recogen son meramente un nombre de referencia (que inclusive pudiera proporcionar cualesquiera sin ser validado ni verídico), un mail, de libre disposición de usuario que no se “autovalida ni verifica”, por lo que no existen rastreos de los mismos, y un mensaje de libre confección. En referida web, se cumple, del mismo modo, con el requisito legal de explicación de la Política de Privacidad aplicada, y que aclara cualquier otra duda relevante que pudiera quedar con dicha recogida de datos. Entendemos pues, que se da cumplimiento en todo lo que la norma exige, pero siempre, centrándonos en la buena fe, el interés en el cumplimiento de las normas, y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 afán de mejora, y atendiendo a que quizás pudiese existir duda para algún usuario en algún asunto que nos es desconocido, sobre la persona física que soporta MgGestion, aun siendo profesional colegiado en el “Colegio Administrador de Fincas de ***LOCALIDAD.1 con N.º XXX”, procede a incluir dicha información en la página de inicio de la web, así como en el “Acerca De” y en el propio formulario de contacto como “encargado del tratamiento”, que se recogen en el documento anexo

1. Se ha puesto en manos de la empresa de servicios informáticos A&A Sistemas (C.C.C. ***NIF.2) que esta Administración, “MgGestion”, tiene a su disposición mediante contrato de servicios, para que se estudie el presente asunto con la debida atención y realice cuantas mejoras y correcciones sean precisas para dar el mejor servicio a sus usuarios, así como al cumplimiento absoluto de la legislación vigente, y entre ellos los cambios informáticos de la página web previamente mencionados y que ya han sido actualizados a fecha 27 de Julio”. CUARTO: Con fecha 20/09/20, por parte de esta Agencia, se comprueba que, la página web denunciada, ***URL.1, tiene las siguientes características, respecto de su política de privacidad: a).- En la pestaña <<contacto>>, situada en la parte superior de la página, existe la posibilidad de recoger datos personales de los clientes, como son: el nombre y el email. b).- En dicha página ***URL.2, existe un banner donde se informa que: “El envío del formulario supone la aceptación de manera expresa de nuestra política de privacidad, dando el consentimiento al tratamiento de sus datos personales: Responsable del tratamiento; finalidad del tratamiento y base reguladora; conservación de los datos”. c).- Además, en la misma página, existe la información de contacto : C/ ***DIRECCIÓN.1 y un link a la <<política de privacidad>>, ***URL.3, donde se proporciona información sobre: qué datos personales recogen; finalidad del tratamiento y los derechos que asisten al usuario. QUINTO: A la vista de los hechos denunciados, de la documentación aportada por las partes y de conformidad con las evidencias de que se dispone, con fecha 08/10/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la persona reclamada por infracción del artículo 13 del RGPD, al no tener actualizada la información en su “Política de Privacidad”, acorde a la nueva normativa vigente del RGPD, con una sanción inicial de “apercibimiento”. SEXTO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 14/10/20, formuló, en síntesis, las siguientes alegaciones: “Se proclama que la página web en su política hace referencia indirecta a la ley Orgánica 15/1999 por la referencia a los derechos ARCO. Dicha abreviatura se utilizaba por la simplicidad en la referencia a los conceptos de Acceso, Rectificación, Cancelación y Oposición, y en ningún caso con intención de menoscabar la importancia ni las exigencias de la actual ley de Protección de Datos, a la que se intenta, en todo momento, dar cumplimiento. Es un mero resquicio en la forma de hablar por el que no se puede otra cosa que pedir la más humilde de las disculpas, y proceder a su sustitución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Si consultamos el mundo web, de manera general, a través de cualquier buscador, veremos que existen infinidad de referencias a dicha nomenclatura, inclusive en páginas del propio estamento gubernamental que a todos nos acoge. La página ofrece suficiente información al usuario, siempre en la máxima transparencia posible, y a fin de garantizar un uso legítimo de los datos recabados. Se procura que el tratamiento de los datos sea leal y transparente, se determina el plazo de uso de dichos datos, el criterio para el mismo, y la posibilidad de hacer frente al acceso, rectificación o supresión. No menos importante la no cesión a terceros. Se reconoce en la propuesta del procedimiento sancionador, que en cumplimiento de las obligaciones la página muestra información suficiente para ejercer el derecho de los usuarios. En aras de la búsqueda del mejorar, en todo lo que se pueda, y siempre al amparo de la mayor disciplina posible para con las obligaciones legales, se ha modificado la página de “Política de Privacidad” contenida en la web, y así retirar la dicción obsoleta de la palabra ARCO, y posicionar con la mayor claridad posible la legitimidad de la recogida de datos y su tratamiento. Dicha actualización se ha producido con fecha 12 de Octubre de
2. Documentos Anexos 1 y 2”. SÉPTIMO: Con fecha 23/10/20, por parte de esta Agencia, se comprueba que, la página web denunciada, ***URL.3 , proporciona, entre otras, la siguiente información, respecto de su política de privacidad: a).- la identidad y los datos de contacto del responsable; b).- los fines a los que se destinan los datos y la base jurídica del tratamiento; c).- la no cesión de los datos personales a terceros; d).- el plazo durante el cual se conservarán los datos personales; e).- la información sobre el derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión y el derecho a presentar una reclamación ante la AEPD. OCTAVO: Con fecha 25/10/20, se notifica la Propuesta de Resolución a la persona reclamada en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos, la sanción que procedía en el presente caso sería la de “apercibimiento, al haber existido inicialmente una posible vulneración del RGPD, corregida en el trascurso del presente procedimiento”. NOVENO: Notificada la propuesta de resolución, no se han recibido en esta Agencia, ningún escrito de alegaciones a la misma, en el periodo concedió para ello. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Con fecha 20/09/20, se ha comprobado que en la página web denunciada, a través de la pestaña de <<contacto>>, ***URL.2, se recogen datos personales de los clientes, como son: el nombre y email. Se comprueba además que en la información recogida en la “política de privacidad” de la página web denunciada, ***URL.3, se sigue haciendo referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 como es el hecho de referirse a los derechos “ARCO”, recogidos en dicha norma derogada. 2º.- Con fecha 14/10/20, la persona reclamada, manifiesta, entre otras, que: “(…) se ha modificado la página de “Política de Privacidad” contenida en la web, y así retirar la dicción obsoleta de la palabra ARCO, y posicionar con la mayor claridad posible la legitimidad de la recogida de datos y su tratamiento. Dicha actualización se ha producido con fecha 12 de Octubre de
3. Documentos Anexos 1 y 2”. 3º.- Con fecha 23/10/20, por parte de esta Agencia, se comprueba que en la página web, ***URL.3, se proporciona información, sobre la identidad y los datos de contacto del responsable; los fines a los que se destinan los datos personales y la base jurídica del tratamiento; la no cesión de los datos personales a terceros; el plazo durante el cual se conservarán los datos personales; la información sobre el derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión y el derecho a presentar una reclamación ante la AEPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Pues bien, sobre la información suministrada en la página web denunciada, para ejercitar los derechos de los interesados, se observó en un principio que, aunque la página ofrecía suficiente información referenciada al ejercicio de los mismos y como retirar el consentimiento. No obstante, dicha información se refería a los derechos ARCO, regulados en la derogada Ley Orgánica 15/1999, de Protección de Datos (LOPD). Incoado expediente sancionador a la persona, titular de la página web, ésta, en el escrito de alegaciones a la apertura del expediente, indicó que, había procedido a modificar la información existente en la “política de privacidad” de la web, adaptándola a la vigente normativa sobre protección de datos. Dicha adaptación se produjo, según indicaciones de la reclamada el pasado 12/10/20, comprobándose este hecho, por parte de esta Agencia, el 23/10/
4. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 APERCIBIR: a Dª. A.A.A., NIF.: ***NIF.1, titular de la página web, ***URL.1 por la infracción cometida, del artículo 13 del RGPD, en lo que respecta a la información que debía proporcionar a los usuarios de la página web, en el momento de recopilar sus datos personales. NOTIFICAR: la presente resolución a Dª. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es