1/4 Procedimiento Nº: PS/00294/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00294/2019, instruido por la Agencia Española de Protección de Datos, a la entidad ASOCIACIÓN ESPAÑOLA DE COMMUNITY MANAGERS, con CIF.: G-88320890, titular de la página web https://www.congresoderedessociales.com , (en adelante “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 14/05/19, Asociación de Consumidores y Usuarios en Acción (FACUA), (en adelante, “la reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “Desde FACUA hemos podido comprobar como en la página web https://www.congresoderedessociales.com, donde se ofrece la inscripción a una serie de jornadas, se omite cualquier clase de referencia al posible ejercicio de los derechos de acceso, rectificación, cancelación, y oposición por parte de aquellos consumidores que facilitasen sus datos personales para la inscripción de dichos datos. Tampoco se informa cuál es la persona responsable en materia de protección de datos ni cómo y dónde dirigir comunicaciones”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fechas 13/06/19 y 11/07/19, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Correos, el requerimiento enviado a la entidad reclamada, con fecha 13/06/19, a la dirección, ***DIRECCION.1, resultó devuelto a origen por “dirección incorrecta”. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada, con fecha 11/07/19, a través del servicio de Notific@, resultó rechazado, con fecha 22/07/19. CUARTO: Consultada la página web, www.congresoderedessociales.com , con fecha 28/10/19, se observa que, en su página de inicio no contiene ningún “Aviso Legal”, ni “Política de Privacidad”, solamente la información: “ASOCIACIÓN ESPAÑOLA DE COMMUNITY MANAGERS, con CIF G-88320890; ***DIRECCION.1”. Para inscribirse a los eventos organizados por la entidad, existe un cuestionario donde se solicitan los datos personales, al cual se accede a través de un link, haciendo clic en “Inscribirse Gratis” (https://www.congresoderedessociales.com/checkout/). En esta página, existe un link un presunto documento de “Política de Privacidad”, con el mensaje “Tus datos personales se utilizarán para procesar tu pedido, mejorar tu experiencia en esta web y otros propósitos descritos en nuestra política de privacidad”. Cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 se intenta acceder a dicha página de la “Política de Privacidad”, la web emite un mensaje de error indicando que la “página no existe”. QUINTO: Con fecha 19/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.
- h)de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas necesarias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios del portal, en el momento en que recabe los datos personales de los mismos a través de los formularios obrantes en su página, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento”. SEXTO: Con fecha 02/12/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web, www.congresoderedessociales.com , con fecha 28/10/19, se observa que, su página de inicio no contiene ningún “Aviso Legal”, ni “Política de Privacidad”. No obstante, en dicha página existe un link en la opción: “Inscribirse Gratis”, (https://www.congresoderedessociales.com/checkout/ , donde existe un presunto documento de “Política de Privacidad”, con el mensaje “Tus datos personales se utilizarán para procesar tu pedido, mejorar tu experiencia en esta web y otros propósitos descritos en nuestra política de privacidad”, pero cuando se intenta acceder a él, la página emite un mensaje de error con la expresión “la página no existe”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 En el supuesto presente, se ha constatado que, en el texto de la hoja enviada por la entidad reclamada a esta agencia, así como la información suministrada, en relación con la política de privacidad, a través de su página web, se constata que no está adaptada al nuevo RGPD. III Todo lo expuesto supone una infracción por vulneración del art 13) del RGPD, considerada en el art 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- a)del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE APERCIBIR: a la entidad ASOCIACIÓN ESPAÑOLA DE COMMUNITY MANAGERS, por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad ASOCIACIÓN ESPAÑOLA DE COMMUNITY MANAGERS, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), debiendo facilitar a los usuarios y/o pacientes, en el momento en que recabe los datos personales de los mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR la presente resolución a la entidad ASOCIACIÓN ESPAÑOLA DE COMMUNITY MANAGERS. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es