PS-00349-2019 | Europaius

1/11 Procedimiento Nº: PS/00349/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: INSTITUTO MUNICIPAL DE CONSUMO DE MADRID (en adelante, el reclamante) con fecha 22 de enero de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CERRAJEROS CEMOPA S.L. con NIF B86626967 (en adelante, el reclamado). Los motivos en que basa la reclamación son la recogida de datos personales por el reclamado, sin facilitar la información precisa a los interesados de conformidad con la normativa vigente en materia de protección de datos personales. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Se trata de poner en conocimiento del reclamado la presente reclamación el 22 de marzo de 2019, requiriéndole para que en el plazo de un mes remita a esta Agencia, información sobre la respuesta dada al reclamante por los hechos denunciados, así como las causas que han motivado la incidencia y las medidas adoptadas para adaptar su “Política de Privacidad” al artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). Sin embargo, tal requerimiento fue devuelto por correos, alegando “dirección incorrecta” Seguidamente, se realizaron actuaciones de investigación de las que se desprende que el reclamado permite a sus clientes el acceso a su política de privacidad en dos sitios diferentes, una en el enlace de su página web https://www.cerrajerosurgentes.es/contacto/.y otra en el formulario de contacto. Asimismo, se constata que existen deficiencias en lo relativo a:  La finalidad del tratamiento de los datos personales que vayan obteniendo de sus clientes, regulado en el artículo 5 del RGPD, al no decirse nada al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11  El tiempo de conservación, ya que se indica que "(...) los datos de los antiguos clientes como de clientes y usuarios, se conservarán para la realización de acciones promocionales durante el plazo de 5 años, (...)" pese a que lo regulado en el artículo 5.1

e)RGPD es que no pueden conservarse más del tiempo necesario para los fines del tratamiento de los datos personales.  El consentimiento en el tratamiento de datos, regulado en el artículo 6 del RGPD, ya que no separa el consentimiento a recibir publicidad con el consentimiento al tratamiento de datos como consecuencia de su relación contractual  El derecho a la información y acceso a los datos del interesado, regulados en los artículos 12, 13 y 14 del RGPD Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. TERCERO: Con fecha 19 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Con fecha 2 de diciembre de 2019 se presentaron las siguientes alegaciones por parte del reclamado: “Por lo que se refiere a la constatación de las deficiencias en nuestra página web https://www.cerrajeros-urgentes.es/contacto/, indicar que en febrero de 2019 se procedió a la adecuación al nuevo Reglamento General de Protección de Datos corrigiendo tanto la finalidad de la obtención de los datos, como en el plazo de conservación y, en nuestro caso, nunca realizamos acciones promocionales, sino que los documentos y datos se conservan según su acto legal que lo ampara para el plazo, además de las observaciones e información que se dan en el Aviso Legal. Se reproduce literalmente y puede ser comprobado en el enlace indicado: “El tratamiento de los datos personales y el envío de comunicaciones por medios electrónicos están ajustados a la normativa establecida en el Reglamento 2016/679 del Parlamento Europeo y del Consejo de 27 de Abril de 2016, Ley Orgánica de Protección de Datos y garantía de los derechos digitales, 3/2018 y en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. Le informamos que todos los datos personales que nos ha proporcionado a través de formularios electrónicos y /o mediante correo electrónico y los que nos facilite a lo largo de su relación comercial con CERRAJEROS CEMOPA S.L., por cualquier medio, que la información que nos facilita la tratamos con el fin de prestarles el servicio solicitado y realizar la facturación del mismo. Los datos proporcionados se conservarán mientras se mantenga la relación comercial o durante los años necesarios para cumplir con las obligaciones legales. Los datos no se cederán a terceros salvo en los casos en que exista una obligación legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Usted tiene derecho a obtener confirmación sobre si estamos tratando sus datos personales por tanto tiene derecho a acceder a sus datos personales, rectificar los datos inexactos o solicitar su supresión cuando los datos ya no sean necesarios. Puede ejercitar sus derechos de acceso, cancelación, rectificación y cancelación de sus datos, enviando una solicitud a CERRAJEROS CEMOPA S.L., C/ JAZMIN 57, 28033, o bien mediante correo electrónico a cemopa@hotmail.es Mediante el envío de los formularios existentes, el remitente presta su consentimiento al tratamiento automatizado de los datos incluidos en el mismo. Los datos facilitados no serán objeto de cesión a terceros, son los estrictamente necesarios para la correcta identificación del remitente, llevar a cabo tareas básicas de administración y son los adecuados, pertinentes y no excesivos en relación con el ámbito y finalidades descritos. Asimismo solicito su autorización para ofrecerle productos y servicios relacionados con los solicitados y fidelizarle como cliente.” He leído y acepto el aviso legal y la política de privacidad” Queremos hacer hincapié que esta cláusula fue “colgada” en febrero de 2019.” El reclamado concluye sus alegaciones manifestando su voluntad de colaborar y de actuar siempre conforme a Derecho, así como su intención de adaptarse a la normativa de protección de datos. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El reclamante denuncia la recogida de datos personales por el reclamado, sin facilitar la información precisa a los interesados de conformidad con la normativa vigente en materia de protección de datos personales. La AEPD constata que existen deficiencias en lo relativo a la finalidad del tratamiento de los datos personales que vayan obteniendo de sus clientes, así como en el tiempo de conservación, en el consentimiento en el tratamiento de datos, ya que no separa el consentimiento a recibir publicidad del consentimiento al tratamiento de datos como consecuencia de su relación contractual, y deficiencias en la información facilitada a los usuarios al registrar sus datos personales. SEGUNDO: La reclamada manifiesta que en febrero de 2019 se procedió a la adecuación al nuevo Reglamento General de Protección de Datos corrigiendo tanto la finalidad de la obtención de los datos, como en el plazo de conservación y, en nuestro caso, nunca realizamos acciones promocionales, sino que los documentos y datos se conservan según su acto legal que lo ampara para el plazo, además de las observaciones e información que se dan en el Aviso Legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 No obstante, señala su voluntad de colaborar y de actuar siempre conforme a Derecho, así como su intención de adaptarse a la normativa de protección de datos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la recogida de datos de carácter personal a través de formularios incluidos en una página web constituye un tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD, precepto que ha desplazado desde el 25 de mayo de 2018 al artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En relación con este asunto, se observa que la Agencia Española de Protección de Datos tiene a disposición de los ciudadanos, la Guía para el cumplimiento del deber de informar (https://www.aepd.es/media/guias/guia-modelo-clausula-informativa.pdf) y, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (https://www.aepd.es/herramientas/facilita.html). III El artículo 5 del RGPD regula los principios relativos al tratamiento estableciendo lo siguiente: Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11
a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). Por su parte el artículo 6 que regula la licitud del tratamiento establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
c)y e), deberá ser establecida por:
a)el Derecho de la Unión, o
b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11
d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” Asimismo, el artículo 13 del RGPD, precepto en el que se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, dispone: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)el derecho a presentar una reclamación ante una autoridad de control;
e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. En relación con dicho precepto, el artículo 11 de la LOPDGDD, dispone lo siguiente: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a)La identidad del responsable del tratamiento y de su representante, en su caso.
b)La finalidad del tratamiento.
c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” IV En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 “
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83.5.
b)del RGPD establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los derechos de los interesados a tenor de los artículos 12 a 22;” A su vez, el artículo 74.
a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas leves dispone: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” En este supuesto, se constata que existen deficiencias en lo relativo a:  La finalidad del tratamiento de los datos personales que vayan obteniendo de sus clientes, regulado en el artículo 5 del RGPD, al no decirse nada al respecto.  El tiempo de conservación, ya que se indica que "(...) los datos de los antiguos clientes como de clientes y usuarios, se conservarán para la realización de acciones promocionales durante el plazo de 5 años, (...)" pese a que lo regulado en el artículo 5.1
e)RGPD es que no pueden conservarse más del tiempo necesario para los fines del tratamiento de los datos personales.  El consentimiento en el tratamiento de datos, regulado en el artículo 6 del RGPD, ya que no separa el consentimiento a recibir publicidad con el consentimiento al tratamiento de datos como consecuencia de su relación contractual  El derecho a la información y acceso a los datos del interesado, regulados en los artículos 12, 13 y 14 del RGPD De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, los hechos expuestos podrían constituir, por parte del reclamado, una infracción a lo dispuesto en el artículo 13 del RGPD, en relación con los artículos 5 y 6 del RGPD. Esta infracción podría ser sancionada con apercibimiento, de acuerdo con el artículo 58.2.
b)del RGPD, al recogerse a través de dicho formulario datos básicos de los usuarios y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. Asimismo, de confirmarse la existencia de infracción, de acuerdo con lo establecido en el citado artículo 58.2.
d)del RGPD, en la resolución podrá ordenarse al reclamado, como responsable del tratamiento, que los datos personales que se recaben se adecúen a la normativa de protección de datos en general y a las exigencias contempladas en los artículos 5, 12, 13 y 14 del RGPD en particular, así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CERRAJEROS CEMOPA S.L. con NIF B86626967, por una infracción del artículo 13 del RGPD en relación con los artículos 5 y 6 de dicho texto legal, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a CERRAJEROS CEMOPA S.L. con NIF B86626967, para que en el plazo de un mes desde este acto de notificación acredite ante este organismo la adopción de medidas para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, -Reglamento (UE) 2016/679 (RGPD)-, y que garanticen en concreto lo siguiente:  La finalidad del tratamiento de los datos personales que vayan obteniendo de sus clientes, así como el tiempo de conservación de dichos datos sea de conformidad a lo regulado en el artículo 5 del RGPD, indicado en el Fundamento de Derecho III.  El consentimiento para el tratamiento de datos personales como consecuencia de su relación contractual, y el consentimiento otorgado para recibir publicidad, serán otorgados por separado y de manera diferenciada, de conformidad con lo regulado en el artículo 6 del RGPD indicado en el Fundamento de Derecho III.  Se facilita a los usuarios, el derecho a la información y acceso a los datos del interesado, regulados en los artículos 12, 13 y 14 del RGPD, con carácter previo a la recogida de los datos personales de los mismos, teniéndose en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. TERCERO: NOTIFICAR la presente resolución a CERRAJEROS CEMOPA S.L. con NIF B86626967 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.