← España

PS-00314-2025

1/27  Expediente N.º: EXP202401598 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ANTECEDENTES..........................................................................................................2 PRIMERO: Presentación reclamación........................................................................2 SEGUNDO: Admisión a trámite de la reclamación.....................................................2 TERCERO: Actuaciones previas de investigación......................................................2 CUARTO: Inicio de procedimiento sancionador.........................................................4 QUINTO: Notificación del acuerdo de inicio de procedimiento sancionador...............4 HECHOS PROBADOS..................................................................................................5 PRIMERO: Contenido sitio web investigado...............................................................5 SEGUNDO: Inexistencia mecanismo de verificación de edad....................................5 TERCERO: Registro en el sitio web investigado........................................................5 CUARTO: Información sobre responsable y tratamiento de datos personales...........6 QUINTO: Titularidad del dominio web........................................................................6 SEXTO: Titularidad del número de teléfono...............................................................6 FUNDAMENTOS DE DERECHO...................................................................................6 I Competencia............................................................................................................ 6 II Cuestiones previas..................................................................................................7 III Obligación incumplida. Tratamiento de categorías especiales de datos personales ................................................................................................................................... 7 IV Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción.............................................................................................................. 10 V Sanción por la infracción del artículo 9 del RGPD.................................................10 VI Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado....................................................................12 VII Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción.............................................................................................................. 14 VIII Sanción por la infracción del artículo 13 del RGPD............................................15 IX Obligación incumplida. Seguridad del tratamiento...............................................16 X Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción.............................................................................................................. 18 XI Sanción por la infracción del artículo 32 del RGPD..............................................18 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 XII Obligación incumplida. Licitud del tratamiento....................................................19 XIII Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción.............................................................................................................. 22 XIV Sanción por la infracción del artículo 6.1 del RGPD..........................................23 XV Medidas correctivas............................................................................................24 RESUELVE.................................................................................................................. 25 PRIMERO................................................................................................................ 25 SEGUNDO............................................................................................................... 25 TERCERO................................................................................................................ 26 CUARTO.................................................................................................................. 26 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Presentación reclamación Con fecha 30/11/2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por hechos que podrían ser constitutivos de una infracción imputable a A.A.A. con número de pasaporte ***NIF.1 (en adelante, A.A.A.) El reclamante pone de manifiesto deficiencias en los avisos legales y política de privacidad de la página web para adultos ***URL.1, a la que habría accedido su hijo de 12 años. Acompaña a su reclamación capturas de pantalla de la página web. SEGUNDO: Admisión a trámite de la reclamación Con fecha 30/01/2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación. TERCERO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 13/02/2024 se accedió a la página web ***URL.1. Constan en el expediente las capturas de pantalla en las que se comprueba que la única verificación de edad al acceder a la página web consistía con esa fecha en la exposición de una imagen de fondo de pantalla con el siguiente mensaje: “Bienvenid@s a ***URL.1! ¿Tienes 18 años o más? Si es así, eres bienvenid@ a este sitio web. Si es menor de edad abandone de inmediato este sitio web.” Asimismo, aparecía en la zona inferior izquierda de la pantalla un rectángulo verde con el rótulo “Si” y en la zona inferior derecha un rectángulo rojo con el rótulo “No”. Al pulsar sobre el rectángulo verde, se accede directamente a la página, con contenidos para adultos, en concreto un listado de anuncios de prostitución. Con fecha 06/03/2025 se accedió de nuevo a la página web y se comprobó que la página había cambiado de aspecto y que a esa fecha se podía navegar libremente por la misma sin ningún aviso ni mecanismo de verificación de edad. En el inicio de la navegación aparece un listado de anuncios de prostitución y un buscador de anuncios en el que se pueden seleccionar los parámetros “categorías”, “provincia”, ciudad”, “zona” y “preferencias sexuales”. Se ha incorporado al expediente vídeo del acceso y capturas de pantalla como evidencias. Con la misma fecha, 06/03/2025 se accedió al proceso de registro en la página web, que permite crear una cuenta de usuario, con las opciones “visitante” o “anunciante”. En el proceso se exige la introducción de nombre, apellidos, teléfono y correo electrónico. La página web hace una comprobación inicial de la estructura del teléfono y el correo, requiere marcar una casilla de manifestación de edad superior a 18 años con el texto “¿Afirmas que tienes 18 años o más?” y aparece un “recaptcha”. En el proceso no se hace referencia alguna al tratamiento de los datos introducidos. Consta en el expediente la grabación en vídeo del proceso de registro. También con fecha 06/03/2025 se accedió al apartado “Aviso Legal” de la página web. Constan capturas de pantalla en el expediente, en las que se aprecia que no se incluye información sobre la identidad del responsable de la página ni referencia alguna a los tratamientos de datos personales que se realizan (finalidad, datos objeto de tratamiento, destinatarios de los datos, plazo de conservación, etc.) Por otro lado, con fecha 13/02/2024 y posteriormente con fecha 06/03/2025, se recogió impresión de algunas de las páginas del sitio web ***URL.1 dejando constancia en el expediente de la existencia de dispositivos de almacenamiento y recuperación de datos (cookies). En relación con la titularidad de la página web, en el marco de las actuaciones previas de investigación, se ha obtenido la siguiente información: Se consultó a través de ***URL.2 la titularidad del dominio web ***URL.1. Como ASN (Autonomous System Number) del dominio aparece Hostinger International Limited, a la que se envió requerimiento de información, sin que conste respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 Como registrador del dominio aparece name.com, página web en la que se menciona ser responsabilidad de Identity Digital Inc (en adelante, ID). El 01/03/2024 se requirió a ID información sobre la titularidad del dominio. ID proporciona la siguiente información sobre el titular del dominio: Nombre de contacto: ***EMPRESA.1 Dirección: (…) (en adelante, dirección_1) Teléfono: (…) (en adelante, numeración_1) Correo electrónico: (…) Con fecha 06/09/2024 se envió un requerimiento de información a “***EMPRESA.1”, a la dirección_1, que fue devuelto el 26/09/2024 por dirección incorrecta. Con fecha 20/03/2024 se requirió a XFERA MÓVILES S.A.U., compañía responsable de la numeración_1, información sobre la titularidad de la línea. Con fecha 08/04/2024, aportó la siguiente información: Fecha de activación: (…) Nombre y apellidos: A.A.A. N.º de pasaporte: ***NIF.1 Consultados los datos disponibles correspondientes a ese nombre y pasaporte en el Padrón municipal, con fecha 06/09/2024 se realizó un requerimiento a A.A.A. a la dirección obtenida, que fue devuelto por “Ausente”. Solicitada a la Agencia Tributaria información sobre el domicilio fiscal de A.A.A., ésta indica que no ha podido obtener datos. CUARTO: Inicio de procedimiento sancionador Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A., por la presunta infracción de los artículos 13, 32, 6.1 y 9 del RGPD, tipificadas en los artículos 83.5.b), 83.5.

  1. a)y 83.4.
  2. a)del RGPD. QUINTO: Notificación del acuerdo de inicio de procedimiento sancionador Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando dicha notificación como rechazada por el reclamado en fecha 25/07/2025. Transcurrido el plazo otorgado para la formulación de alegaciones, no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes HECHOS PROBADOS PRIMERO: Contenido sitio web investigado Con fecha 13/02/2024, en el sitio web ***URL.1 figura una imagen de fondo de pantalla con el siguiente mensaje: “Bienvenid@s a ***URL.1! ¿Tienes 18 años o más? Si es así, eres bienvenid@ a este sitio web. Si es menor de edad abandone de inmediato este sitio web.” Asimismo, aparecía en la zona inferior izquierda de la pantalla un rectángulo verde con el rótulo “Si” y en la zona inferior derecha un rectángulo rojo con el rótulo “No”. Al pulsar sobre el rectángulo verde, se accedía directamente a la página. SEGUNDO: Inexistencia mecanismo de verificación de edad Con fecha 06/03/2025, el sitio web ***URL.1 no incluía ningún mecanismo de verificación de edad, pudiéndose navegar libremente por ella. En el inicio de la navegación aparece un listado de anuncios de prostitución y un buscador de anuncios en el que se pueden seleccionar los parámetros “categorías”, “provincia”, “ciudad”, “zona” y “preferencias sexuales”. Ello queda acreditado en el vídeo y capturas de pantalla incorporadas al expediente como evidencias. TERCERO: Registro en el sitio web investigado Con fecha 06/03/2025 el sitio web ***URL.1 contenía un proceso de registro en la página web que permitía crear una cuenta de usuario con las opciones “visitante” o “anunciante”. En el proceso se exigía la introducción de nombre, apellidos, teléfono y correo electrónico. La página web hacía una comprobación inicial de la estructura del teléfono y el correo, requería marcar una casilla de manifestación de edad superior a 18 años con el texto “¿Afirmas que tienes 18 años o más?” y aparecía un “recaptcha”. En dicho proceso no se hacía referencia alguna al tratamiento de los datos introducidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 Dicho hecho queda acreditado en la grabación en vídeo del proceso de registro y que se encuentra incorporado en el expediente. CUARTO: Información sobre responsable y tratamiento de datos personales Con fecha 06/03/2025 el sitio web ***URL.1 no incluía información sobre la identidad del responsable de la página ni referencia alguna a tratamientos de datos personales. Ello se desprende de las capturas de pantalla incorporadas al expediente, en las que se aprecia que no se incluye información sobre la identidad del responsable de la página ni referencia alguna a los tratamientos de datos personales que se realizan (finalidad, datos objeto de tratamiento, destinatarios de los datos, plazo de conservación, etc.). QUINTO: Titularidad del dominio web Con fecha 01/03/2024, como titularidad del dominio web ***URL.1, constaban los siguientes datos: Nombre de contacto: ***EMPRESA.1 Dirección: (…) (en adelante, dirección_1) Teléfono: (…) (en adelante, numeración_1) Correo electrónico: (…) SEXTO: Titularidad del número de teléfono Desde fecha 16/01/23 y, al menos, hasta fecha 08/04/2024, la titularidad del número de teléfono (…) correspondía a A.A.A., con pasaporte número ***NIF.1. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas. Por un lado, en el proceso de registro de una cuenta de usuario se recogen los datos de nombre, apellidos, teléfono y correo electrónico. Por otro, en el acceso y navegación en la página se recogen datos de navegación a través de dispositivos de almacenamiento y recuperación de datos (cookies). A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  5. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  6. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  7. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  8. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  9. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  10. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  11. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  12. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27 los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  13. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
  14. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado." De acuerdo con el RGPD, son datos de categoría especial aquellos datos personales cuyo tratamiento exige de una protección reforzada, debido a su incidencia especial en el derecho fundamental a la protección de datos de carácter personal, en otros derechos y libertades de los interesados como la intimidad, así como las libertades públicas y otros derechos fundamentales de la persona. Así considerados, su tratamiento, en principio, está prohibido por el RGPD, salvo que exista alguna de las excepciones que levanten la prohibición del tratamiento de categorías especiales de datos personales indicadas en el artículo 9.2 del RGPD. En el presente caso, consta evidencia de que, con fecha 06/03/2025, la página web ***URL.1 permitía la navegación por un listado de anuncios de prostitución, así como el registro de una cuenta de usuario para subir anuncios y contactar con anunciantes. En relación con ese catálogo de anuncios, la página tenía habilitado un buscador en el que los usuarios podían seleccionar diferentes parámetros de búsqueda, uno de los cuales era “preferencias sexuales”. Las preferencias sexuales son, de acuerdo con el RGPD datos de categoría especial a los que se refiere el artículo 9.1 del RGPD como “datos relativos a la vida sexual o la orientación sexual de una persona física”. En consecuencia, el tratamiento de dichos datos personales estaría prohibido salvo que concurriera alguna de las circunstancias del artículo 9.2 del RGPD. Es decir, es necesario que concurra alguna de las premisas establecidas en el mencionado artículo para que se pueda llevar a cabo un tratamiento respecto a datos de dicha naturaleza. Estas excepciones han de interpretarse de manera restrictiva, tal y como se desprende de los considerandos del 51 al 56 del RGPD. Sin embargo, en el presente supuesto no ha quedado acreditado que el mencionado tratamiento de datos relativos a la vida u orientación sexuales de los usuarios de la página web se ampare en ninguna de las excepciones que levantarían la prohibición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 de tratamiento de las previstas en el mencionado artículo 9.2 del RGPD. Es más, en la medida en que la página web no contiene referencia alguna al tratamiento de datos de categoría especial, parecería que A.A.A. ni siquiera ha valorado la necesidad de contar con una excepción a la prohibición del tratamiento de estos datos. Por tanto, de acuerdo con los hechos probados, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 9 del RGPD transcrito anteriormente. IV Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica." V Sanción por la infracción del artículo 9 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  17. a)a
  18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  20. b)la intencionalidad o negligencia en la infracción;
  21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  25. g)las categorías de los datos de carácter personal afectados por la infracción;
  26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  30. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  31. a)El carácter continuado de la infracción.
  32. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  33. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27
  35. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  36. f)La afectación a los derechos de los menores.
  37. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  38. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  39. a)del RGPD): En el presente caso los hechos afectan directamente al control que los interesados ejercen sobre un dato de categoría especial, en particular, el de sus preferencias sexuales, afectando además directamente a la capacidad de los usuarios de la página, registrados o no, para ejercer sus derechos en relación con el tratamiento de dicho dato personal. • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
  40. b)del RGPD): En el presente caso se aprecia especial negligencia en la medida en que, dado que la página web ni siquiera hace mención al tratamiento de datos de categoría especial como son los datos que revelen preferencias sexuales, el responsable ni siquiera ha valorado la necesaria excepción que levante la prohibición de tratamiento. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  41. g)del RGPD): En el presente caso, la infracción afecta a un dato personal de categoría especial como es el de las preferencias sexuales de los usuarios de la página web. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD, permite fijar una sanción de multa administrativa de 6.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 VI Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  42. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  43. b)los datos de contacto del delegado de protección de datos, en su caso;
  44. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  45. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  46. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  47. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  48. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  49. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  50. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  51. d)el derecho a presentar una reclamación ante una autoridad de control;
  52. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  53. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En el presente caso, de acuerdo con los hechos probados, con fecha 06/03/2025 existía un proceso de registro como usuario en la página web en el que se obtenían de los usuarios determinados datos personales para la apertura de una cuenta, en concreto nombre, apellidos, teléfono y correo electrónico. De acuerdo con el artículo 13 del RGPD, en el momento en que el responsable del tratamiento obtiene los datos, debe facilitar la información que se recoge en dicho artículo: identidad y contacto del responsable, fines del tratamiento, base jurídica, en su caso destinatarios de los datos personales, plazo de conservación de los datos, derechos del interesado, etc. En el presente caso, cabe entender que el momento de obtención de datos al que se refiere el artículo 13 del RGPD sería el registro como usuario. Sin embargo, consta evidencia en el expediente de que en el proceso de registro de los usuarios no se facilitaba ninguna información sobre el tratamiento. Por otro lado, sin perjuicio de que dicha información debía facilitarse en el momento de obtener los datos, ni siquiera en el apartado “Aviso Legal” de la página web, con fecha 06/03/2025, se incluía información sobre la identidad del responsable de la página ni los tratamientos de datos personales que realiza. Cabe destacar que la información que se establece en el artículo 13 no es una mera formalidad, sino un elemento esencial tanto para garantizar los principios de transparencia y lealtad que se imponen al responsable de un tratamiento, como para posibilitar el ejercicio de los derechos que establece el RGPD para que los interesados tengan el poder de disposición y control de sus datos personales. Por tanto, se considera que los hechos probados son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 13 del RGPD transcrito anteriormente. VII Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  54. b)los derechos de los interesados a tenor de los artículos 12 a 22;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  55. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." VIII Sanción por la infracción del artículo 13 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76 LOPDGDD, ya reproducidos en el Fundamento quinto de esta Resolución. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  56. a)del RGPD): En el presente caso se manifiesta en la ausencia total de información respecto al contenido exigido del artículo 13. Dicha omisión no parcial, además de afectar al ejercicio de los derechos de acceso, rectificación y supresión de los afectados, impiden que los mismos conozcan cuestiones tan esenciales como la finalidad del tratamiento o si los mismos pueden ser cedidos a terceros o no. Esta circunstancia agrava la conducta infractora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
  57. b)del RGPD): En el presente caso se aprecia especial negligencia en la medida en que no consta información alguna sobre responsable, fines, condiciones o derechos en relación con dicho tratamiento. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  58. g)del RGPD): En el presente caso, el tratamiento incluye un dato personal de categoría especial como es el de las preferencias sexuales de los usuarios de la página web. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de multa administrativa de 4.000,00 euros. IX Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  59. a)la seudonimización y el cifrado de datos personales;
  60. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  61. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  62. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 En el presente caso, la página web ***URL.1 tiene contenidos y ofrece servicios dirigidos de manera exclusiva a mayores de edad, como el propio responsable de la página reconoce. En particular, se podía acceder a un listado de anuncios de prostitución sin necesidad de tener una cuenta de usuario. Por otro, previo registro de una cuenta, se podrían subir anuncios y contactar con otros usuarios. Al diseñar un tratamiento concreto, el responsable determina, entre otras cuestiones, cuáles son las categorías de interesados y las categorías de datos personales que se tratan en relación con la finalidad perseguida por éste. En consecuencia, cuando el responsable de un tratamiento limita éste a mayores de edad, sus esfuerzos, derivados de sus obligaciones, deben ir dirigidos a garantizar que solo se traten los datos de los usuarios que cumplen la edad por él mismo determinada. Esto implica el diseño y la adopción de las medidas de seguridad adecuadas al riesgo, así como su correcta implementación, que permitan demostrar su cumplimiento con la normativa en materia de protección de datos personales y, en particular, con el artículo 32 de RGPD. El artículo 32 del RGPD establece las obligaciones del responsable desde un enfoque orientado al riesgo. Esto implica que el responsable debe tener en cuenta, la naturaleza, el contexto y los fines del tratamiento que realiza. En base a ello, debe analizar los riesgos de probabilidad y gravedad variables que ese tratamiento implica. Y, en función de esos riesgos, adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a esos riesgos. En el mismo sentido, el considerando 74 del RGPD señala que “el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas”. En relación con ese análisis de riesgos, cabría destacar la especial relevancia que tanto el RGPD como la LOPDGDD conceden a la protección de los datos personales de los menores. Así, por ejemplo, el considerando 38 del RGPD señala que los niños merecen una protección específica de sus datos personales. El considerando 75 del RGPD, en relación con los riesgos para los derechos y libertades, menciona específicamente a los niños como colectivo vulnerable. Por su parte, el artículo 76 de la LOPDGDD señala el hecho de que una infracción afecte a los derechos de los menores como criterio para evaluar su gravedad. En el mismo sentido, diferentes preceptos del RGPD y de la LOPDGDD establecen garantías específicas en relación con la protección de datos de los menores, como, por ejemplo, que el tratamiento de sus datos no puede fundarse en su consentimiento si no es mayor de catorce años. En definitiva, en la adopción de medidas de seguridad desde el enfoque de riesgos, el tratamiento de datos personales de menores, como colectivo vulnerable, tiene una especial relevancia. En consecuencia, un tratamiento dirigido exclusivamente a adultos y que, por ello, puede implicar riesgos para los menores, conlleva la obligación del responsable de adoptar medidas eficaces para garantizar que el acceso se realiza solo por mayores de edad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 En el presente caso habría quedado acreditada la existencia de contenidos y servicios orientados a mayores, como son anuncios y servicios de prostitución. Asimismo, constan evidencias de que el acceso a esos contenidos no garantizaba un control eficaz de la edad. Con fecha 13/02/2024 únicamente figuraba un aviso sobre los contenidos y se requería marcar una casilla para declarar la edad, sin mecanismos para verificarla ni comprobarla posteriormente. Sin embargo, con fecha 06/03/2025, el aspecto de la página web se había modificado y ni siquiera constaba un aviso de que los contenidos eran para adultos ni mecanismo alguno de verificación de edad, ni siquiera declarativo. Con esa fecha, solo para registrar una cuenta de usuario existía una casilla declarativa de ser mayor de edad, mientras que para el acceso y la navegación sin registro no existía ningún mecanismo de verificación de edad. Por tanto, los hechos probados son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 32 del RGPD transcrito anteriormente. X Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  63. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  64. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27 XI Sanción por la infracción del artículo 32 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76 LOPDGDD, ya reproducidos en el Fundamento quinto de esta Resolución. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  65. a)del RGPD): En el presente caso, la gravedad se manifiesta en que el hecho de la página de la parte reclamada está dirigido únicamente a adultos y, en consecuencia, la falta de un sistema que garantice que solo los mayores de edad pueden acceder, implica un mayor riesgo de los derechos y libertades de los menores, lo que incremente la gravedad de la conducta. • La intencionalidad o negligencia grave (artículo 83.2.
  66. b)del RGPD: En el presente caso se aprecia grave negligencia en la medida en que a pesar de que en un momento estaba implementado un sistema de acceso, con posterioridad y a lo largo del transcurso de las actuaciones de investigación se procedió a eliminar dicho sistema sin ningún tipo de justificación, lo cual implica un mayor nivel de culpabilidad respecto a la obligación de adoptar las medidas adecuadas. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  67. g)del RGPD): En el presente caso, el tratamiento incluye un dato personal de categoría especial como es el de las preferencias sexuales de los usuarios de la página web. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de multa administrativa de 5.000,00 euros. XII Obligación incumplida. Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  68. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  69. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  70. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  71. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  72. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  73. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  74. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En el presente caso, se realiza un tratamiento consistente en el registro de los datos personales de los usuarios de la página web para la creación de una cuenta. En consecuencia, para que dicho tratamiento fuera lícito, tendría que ampararse en alguno de los supuestos previstos en el artículo 6.1 del RGPD. Sin embargo, en la página web no se hacía referencia a ninguna base legal del tratamiento. Cabe citar que el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD, sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. De la aplicación de los artículos 6.1 y 24 del RGPD se deriva que corresponde al responsable determinar la base de legitimación del tratamiento (o la elección de la base más adecuada del tratamiento, en caso de existir varias), informar a los afectados sobre cuál es esa base y acreditar que el tratamiento se realiza conforme a ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 En el presente caso, como se ha dicho, en la página web no se hacía referencia a ninguna base legal y tampoco hay referencias al responsable, fines o condiciones en que se realiza el tratamiento. De conformidad con el artículo 6.1 del RGPD, existen varias posibles bases que legitiman el tratamiento de datos: cuando hay consentimiento del interesado, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso no se aprecia que concurran ninguna de esas bases de legitimación. Por la naturaleza del mismo (el registro de una cuenta de usuario), podrían considerarse como bases la ejecución de un contrato o el consentimiento. Sin embargo, no se dan las circunstancias para que ninguna de las dos pueda considerarse aplicable al caso. No puede entenderse que el tratamiento es necesario para la ejecución de un contrato dado que faltan elementos esenciales para considerar que se esté contratando. Así, a pesar de que la página web ofrece un servicio a las personas que se registran y abren una cuenta como usuarios, la página no identifica ni con quién se está contratando. Tampoco se identifican en la pantalla de registro ni el objeto del contrario, ni las condiciones aplicables al mismo. En cuanto a la consideración del consentimiento como base de legitimación del tratamiento, tampoco de dan las condiciones para considerar que exista un consentimiento válido de acuerdo con el RGPD, por los motivos que se exponen a continuación. En las actuaciones de investigación realizadas consta evidencia de cómo estaba implementado el proceso de registro de una cuenta con fecha 06/03/2025. En ese proceso de registro se exigía la introducción de ciertos datos (nombre, apellidos, teléfono y correo electrónico del usuario), se hacía una comprobación inicial de la estructura del teléfono y del correo electrónico y se requería marcar una casilla declarando una edad superior a 18 años. Sin embargo, en ese proceso de registro no se hacía referencia alguna a la existencia de un tratamiento de los datos personales introducidos, ni se recogía el consentimiento de la persona que se registraba, ni en una casilla ni mediante ningún otro mecanismo. El RGPD regula de forma detallada qué es el consentimiento y las condiciones en que debe realizarse y recogerse. Así, el artículo 4 del RGPD define consentimiento en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” Sobre la forma en que debe realizarse, el considerando 32 del RGPD señala lo siguiente: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.” Por su parte, el considerando 42 señala que: “(…) para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales”. Por último, el artículo 7 del RGPD establece las condiciones para considerar que el consentimiento ha sido válidamente otorgado: “Artículo 7. Condiciones para el consentimiento 1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.” En este marco, resulta evidente que, en el presente caso, en el proceso de registro como usuario de la web, no puede entenderse que existiera un consentimiento válidamente otorgado. No existe consentimiento informado, ya que no se aporta información a los usuarios de cuáles son los fines y las condiciones en que se va a realizar el tratamiento ni los derechos que tienen en relación con el tratamiento. No hay una manifestación inequívoca y afirmativa por la que el interesado acepta el tratamiento, dado que no existe ni una casilla para marcar el consentimiento ni ningún otro mecanismo para recogerlo. Tampoco cabría entender que exista consentimiento por el hecho de que el usuario introduzca sus datos, ya que el RGPD exige un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 consentimiento afirmativo e inequívoco, por lo que un supuesto consentimiento tácito sería contrario a lo que establece el RGPD. En definitiva, no habría en el proceso de registro de una cuenta de usuario de la página web, una base de legitimación que permitiera considerar lícito el tratamiento de los datos. Por tanto, los hechos probados son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6.1 del RGPD transcrito anteriormente. XIII Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  75. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  76. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." XIV Sanción por la infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76 LOPDGDD, ya reproducidos en el Fundamento quinto de esta Resolución. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27 correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  77. a)del RGPD): En el presente caso la gravedad se manifiesta en la posibilidad en que la falta de legitimación para tratar los datos personales puede afectar a menores de edad, puesto que los mismos no están habilitados para dar consentimiento para acceder a dicho contenido. Ello implica que la falta de base legítima se agrava al permitir el tratamiento de datos personales de personas vulnerables como los menores de edad. • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
  78. b)del RGPD): La especial negligencia se manifiesta en este caso en el contexto donde debería exigirse el consentimiento. En una página donde se ofrecen servicios sexuales y donde se identifican los datos personales implica una mayor diligencia en asegurar una base legítima para el tratamiento, incluido el consentimiento. La ausencia de la misma en este caso agrava la conducta. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  79. g)del RGPD): En el presente caso, el tratamiento incluye un dato personal de categoría especial como es el de las preferencias sexuales de los usuarios de la página web. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de multa administrativa de 5.000,00 euros. XV Medidas correctivas Se acuerda, además, imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2
  80. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 En el presente caso, consisten en requerir a A.A.A. para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - - Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 6.1 del RGPD, en particular, en relación con el tratamiento de los datos de los interesados en el proceso de registro de una cuenta en la página web. Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 9 del RGPD. Acreditar la puesta a disposición a los usuarios de la página web de la información a la que se refiere el artículo 13 del RGPD. Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 32 del RGPD. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE PRIMERO IMPONER a A.A.A., con pasaporte número ***NIF.1, multa administrativa de VEINTE MIL EUROS (20.000,00 euros) correspondiente a las siguientes infracciones: - Por infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.a), multa de 6.000,00 euros. Por infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.b), multa de 4.000,00 euros. Por infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.a), multa de 5.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27 - Por infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a), multa de 5.000,00 euros. SEGUNDO ORDENAR a A.A.A., con pasaporte número ***NIF.1, que en virtud del artículo 58.2.
  81. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas siguientes: - - Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 6.1 del RGPD, en particular, en relación con el tratamiento de los datos de los interesados en el proceso de registro de una cuenta en la página web. Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 9 del RGPD. Acreditar la puesta a disposición a los usuarios de la página web de la información a la que se refiere el artículo 13 del RGPD. Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 32 del RGPD. TERCERO NOTIFICAR la presente resolución a A.A.A.. CUARTO Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  82. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  83. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.