1/3 Procedimiento Nº: PS/00371/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00371/2019, instruido por la Agencia Española de Protección de Datos, a la entidad SOTA S.C.P., titular de la página web www.joiestelada.cat (en adelante, “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 03/09/18, D. A.A.A. (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “La web www.joiestelada.cat , dedicada a la venta online de productos varios, incumple la vigente normativa en materia de Protección de Datos ya que, entre otras posibles circunstancias que deben ser inspeccionadas por esta Agencia, carece por completo de una Política de Privacidad acorde a lo regulado en el RGPD; utiliza un formulario de contacto en el que se recogen datos sin incluir ninguna información sobre los aspectos contemplados en la normativa actual sobre Protección de Datos, no conteniendo enlace a la Política de Privacidad y careciendo del checkbox, solicitando explícitamente que el usuario acepte la Política de Privacidad. Así mismo, al carecer de cualquier tipo de información sobre la vigente normativa en PD. no es posible saber la cesión de éstos que se puedan realizar hasta el momento de la presente denuncia a terceros”. SEGUNDO: Con fecha 02/07/19, a la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (RGPD). Así, con fecha 25/10/18, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Correos, el requerimiento enviado a la entidad reclamada, a la dirección c/ Nuestra Señora de Montserrat 16; 08540 Centelles (Barcelona), ha resultado devuelto a origen por “sobrante”, (No retirado en oficina). CUARTO: Consultada la página web, www.joiestelada.cat , con fecha 21/10/19, se observa que se observa que para realizar un pedido de los productos que publicita, se debe introducir los datos personales del interesado, careciendo de cualquier tipo de banner o link a la “política de privacidad” de la página. QUINTO: Con fecha 04/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.
- h)de la LOPDGDD a efectos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas necesarias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios del portal, en el momento en que recabe los datos personales de los mismos a través de los formularios obrantes en su página, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento”. SEXTO: Con fecha 16/11/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web, www.joiestelada.cat , con fecha 21/10/19, se observa que se observa que para realizar un pedido de los productos que publicita, se debe introducir los datos personales del interesado, careciendo de cualquier tipo de banner o link a la “política de privacidad” de la página. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, en la página web www.joiestelada.cat para realizar un pedido de los productos que publicita, se debe introducir los datos personales del interesado, careciendo de cualquier tipo de banner o link a la “política de privacidad” de la página. III Todo lo expuesto podría suponer una infracción por vulneración del artículo 13) del RGPD, considerada en el artículo 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos. RESUELVE APERCIBIR: SOTA S.C.P., titular de la página web www.joiestelada.cat , por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad SOTA S.C.P. para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), debiendo facilitar a los usuarios y/o pacientes, en el momento en que recabe los datos personales de los mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR la presente resolución a la entidad SOTA S.C.P. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es