1/3 Procedimiento Nº: PS/00375/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00375/2019, instruido por la Agencia Española de Protección de Datos, a la entidad INMOVA, titular de la página web www.inmova.es (en adelante, “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 26/06/19, Dª. A.A.A. (en adelante, “la reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “Tras poner un anuncio de alquiler en el portal inmobiliario “idealista.es” donde publica su teléfono con la finalidad de que posibles interesados puedan contactar con ella, recibe un mensaje SMS ofreciendo un seguro para el posible impago del alquiler, remitiendo al sitio web “inmova.es”. Manifiesta que no ha solicitado este servicio, que no ha dado su consentimiento para estos envíos y que no hay forma de ejercer sus derechos sobre el tratamiento de sus datos personales. En la web de la agencia inmobiliaria www.inmova.es , no aparece referencia a ninguna sociedad o CIF”. SEGUNDO: Con fecha 02/07/19, a la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (RGPD). Así, con fecha 19/08/19 y 20/08/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Correos, los requerimientos enviados a la entidad reclamada, a la dirección c/ Ribera del Loira 46; 28042 Madrid, resultaron devueltos a origen por “Desconocido”. CUARTO: Consultada la página web, www.inmova.es , con fecha 21/10/19, se observa que la misma no contiene Aviso Legal ni otra información equivalente en donde se pueda encontrar al responsable del sitio web, la propiedad de éste, ni el CIF con el que opera la mercantil; no tiene documento de Política de Privacidad; en la parte inferior de la página aparece un enlace con la denominación, “Términos y Condiciones”, que no enlaza con ningún documento y tiene una página de “Contacto” donde aparece un formulario de recogida de datos, pero no tiene la casilla de verificación de aceptación de la Política de Privacidad. QUINTO: Con fecha 04/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 13 del RGPD y considerada muy grave en el 72.1.
- h)de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas necesarias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios del portal, en el momento en que recabe los datos personales de los mismos a través de los formularios obrantes en su página, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento”. SEXTO: Con fecha 29/11/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web, www.inmova.es , con fecha 21/10/19, se observa que la misma no contiene Aviso Legal ni otra información equivalente en donde se pueda encontrar al responsable del sitio web, la propiedad de éste, ni el CIF con el que opera la mercantil; no tiene documento de Política de Privacidad; en la parte inferior de la página aparece un enlace con la denominación, “Términos y Condiciones”, que no enlaza con ningún documento y tiene una página de “Contacto” donde aparece un formulario de recogida de datos, pero no tiene la casilla de verificación de aceptación de la Política de Privacidad. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, en la página web www.inmova.es para realizar un pedido de los productos que publicita, se debe introducir los datos personales del interesado, careciendo de cualquier tipo de banner o link a la “política de privacidad” de la página. III Todo lo expuesto podría suponer una infracción por vulneración del artículo 13) del RGPD, considerada en el artículo 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- a)del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos. RESUELVE APERCIBIR: a la entidad INMOVA, titular de la página web www.inmova.es, por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad INMOVA, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), debiendo facilitar a los usuarios y/o pacientes, en el momento en que recabe los datos personales de los mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR: la presente resolución a la entidad a la entidad INMOVA, De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es