← España

PS-00377-2018

1/21 938-0419 Procedimiento Nº: PS/00377/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de junio de 2018 tiene entrada en esta Agencia reclamación formulada por Don A.A.A. (en lo sucesivo el reclamante), poniendo de manifiesto que el sitio web ***URL.1 no identifica al titular de la empresa y que en la página de contacto del citado sitio web no se solicita la aprobación del usuario a la política de privacidad del mismo. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de la información y documentación obtenida como resultado de las actuaciones practicadas, se ha tenido conocimiento de los siguientes hechos: 2.1 Con fecha 27 de julio de 2018 se comprueba a través del sitio web ***URL.2 que Dña. B.B.B. (en adelante, la reclamada o IVT) figura como titular del reseñado dominio. 2.2 Con fecha 20 de noviembre de 2018 se registra de entrada escrito de la reclamada en el que, en contestación a la solicitud de información que le fue efectuada por esta Agencia con fecha 17 de agosto de 2018, informa de los siguientes extremos: - Afirma que el titular de la página estaba identificado mediante su NIF, si bien se ha incluido también su nombre y apellidos. - Respecto de la página de contacto, señala que “se trata únicamente de un “contacto” que establece voluntariamente quién lo solicita. Es el interesado quien facilita voluntariamente sus datos. Además, esos datos no son almacenados ni sometidos a ningún tipo de tratamiento. De hecho, una vez efectuada la respuesta a la petición del usuario, son destruidos. Por ello interpretaba que no era necesaria la aprobación del usuario, ya que es él quien por decisión y voluntad propia facilita sus datos”, añadiendo que ha “incorporado la aprobación”. 2.3 Con fechas 26 y 27 de noviembre de 2018, al acceder al acceder al sitio web ***URL.1 se constata que: 2.3.1. – Respecto de la recogida y tratamiento de datos personales se ofrece la siguiente información: 2.3.1.1 En el formulario de contacto incluido en la página del reseñado sitio web ***URL.1 se recoge el nombre, e-mail y teléfono los usuarios que lo cumplimentan. Al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es pie del citado formulario figura una casilla sin cumplimentar junto con el texto: “He leído y acepto las políticas de privacidad.”, bajo el cual aparece el botón “Enviar”. El texto subrayado anterior es un enlace que redirige a la página ***URL.1 del reseñado sitio, si bien bajo el título “Políticas de Privacidad” no ofrece información alguna al respecto, limitándose a incluir los siguientes datos de contacto: info@***URL.1, ***URL.1 y ***TELEFONO.1. En la misma página del formulario de contacto aparece la siguiente información: 1. Responsable de los datos: IVT 2. Finalidad de los datos: Envío de presupuestos 3. Almacenamiento de los datos: Base de Datos alojada en web ***URL.1 IVT (UE) 4. Derechos: En cualquier momento puedes limitar, recuperar y borrar tu información. (El texto subrayado es un enlace que no conduce a ningún otra información o documento) 2.3.1.2. En el “Aviso Legal” del sitio web estudiado se identifica como titular del mismo a la reclamada, cuyo nombre, apellidos y NIF se proporcionan. En el apartado de "Protección de Datos Personales” del citado “Aviso Legal” se informa que: “El prestador se encuentra profundamente comprometido con el cumplimiento de la normativa española de protección de datos de carácter personal, y garantiza el cumplimiento íntegro de las obligaciones dispuestas, así como la implementación de las medidas de seguridad dispuestas en el art. 9 de la Ley 15/1999, de Protección de Datos de Carácter Personal (LOPD) y en el Reglamento de Desarrollo de la LOPD. El prestador pone a disposición de los usuarios la Política de Privacidad de la entidad informando a los usuarios respecto a los siguientes aspectos: Datos del Responsable del tratamiento. Datos tratados. Fichero en el cual se almacenan. Finalidad del tratamiento. Obligatoriedad o no de facilitar, así como las consecuencias en caso de no facilitarlos. Sobre los derechos que asisten a todo usuario y el procedimiento para ejercitarlos.” Tal y como se ha señalado en el apartado 2.3.1.1, la página https://***URL.1 no ofrece ninguna información relativa a los extremos que deben facilitarse al interesado en el momento de la recogida de sus datos personales. Además, se ha comprobado que dicho documento sólo resulta accesible desde el enlace contenido en el texto de aceptación de las políticas de privacidad que aparece debajo del formulario de contacto del sitio web. En el apartado denominado "Consentimiento Formularios” del citado “Aviso 3/21 Legal” se informa que: ”¿En qué consiste? Se trata de una casilla que debemos dejar desmarcada por defecto y que debe incluirse al final de cualquier formulario online con el texto “Acepto la Política de Privacidad”, y enlazando a ese texto de política de privacidad. ¿Para qué sirve? Esta casilla sirve para demostrar que el usuario que nos facilita sus datos personales consiente el tratamiento de los mimos expresamente. ¿En qué formularios debe incluirse? Se incluirá en todos los formularios que aparezcan en la página web, tanto de contacto como de suscripción. ¿Qué pasa con los registros obtenidos antes de esta nueva regulación? No se admiten formas de consentimiento tácito o por omisión, ya que se basan en la inacción y por tanto, si has obtenido consentimientos bajo esas condiciones, ya no serían legítimos y no podrías seguir utilizando esos registros a menos que los adaptes a la nueva normativa.” TERCERO: Con fecha 26 de noviembre de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, se verifica que a la reclamada no le constan registros previos. CUARTO: Con fecha 11 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de Apercibimiento a la reclamada (Dña. IVT), de conformidad con lo previsto en el artículo 58.2.

  1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  2. b)del mismo. Asimismo, de conformidad con lo previsto en el artículo 58.2.
  3. d)del RGPD, la Directora de la Agencia Española de Protección de Datos acordaba requerír a la reclamada la adecuación de la política de privacidad del sitio web ***URL.1 de su titularidad a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios del portal, en el momento en que recabe los datos personales de los mismos a través de los formularios obrantes en su página web, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. QUINTO: El acuerdo de inicio citado se notificó a la reclamada con fecha 22 de enero de 2019, según figura en el certificado de entrega emitido por la Sociedad Estatal Correos y Telégrafos, S.A. obrante en el procedimiento, no constando que la reclamada haya ejercitado su derecho a formular alegaciones y proponer las pruebas que considerase procedentes en el plazo concedido a tales efectos. SEXTO: Con fecha 11 de julio de 2019 se incorpora al procedimiento Diligencia de impresión de captura del “Formulario de Contacto”, la “Política de Privacidad” y “Aviso Legal” obtenidos con motivo de los accesos efectuados, con fechas 10 y 11 de julio de 2019, a la página web ***URL.1. En dichos accesos se observa que al pie del formulario figura una casilla sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es cumplimentar junto con el texto: “Doy el expreso consentimiento al tratamiento de mis datos personales, según el que se expresa en políticas de Privacidad de IVT (Publi-Net Comunicación). Los datos de carácter personal que se faciliten mediante este formulario se enviarán por correo electrónico y quedarán registrados en un fichero de IVT (Publi-Net Comunicación), con la finalidad de contestar las consultas y obtener datos estadísticos de las mismas. En cualquier momento, se pueden ejercitar los derechos de acceso, rectificación, cancelación, oposición y olvido, escribiendo a nuestro correo electrónico o correo postal.”. Bajo este texto está el botón “Enviar”. (El texto subrayado es un enlace que al ser pulsado conduce a la “Política de Privacidad” del sitio web, como también ocurre cuando se pulsa el enlace con el texto “puedes limitar, recuperar y borrar tu información”). Igualmente, se constata que el documento “Política de Privacidad al que dirigen los enlaces reseñados en el hecho anterior informa sobre los siguientes aspectos: - Identificación de la entidad responsable del tratamiento de datos personales, facilitando: nombre comercial “Publi-Net comunicación”, domicilio social, teléfono, email y web en cuestion, así como un número de DNI/CIF que, según se ha comprobado coincide con el DNI facilitado por Dña. IVT al contestar el requerimiento de información que se le efectuó en el traslado de la reclamación. - Normativa aplicable: Se refiere al RGPD y la normativa española aplicable en materia de protección de datos. En este campo se informa que: “Al facilitar sus datos, usted declara haber leído y conocer la presente Política de Privacidad, prestando su consentimiento inequívoco y expreso al tratamiento de sus datos personales de acuerdo a los fines y términos aquí expresados.(…)” - Delegado de Protección de Datos: No hay designado DPD. - Finalidad del tratamiento de los Datos Personales. Se informa que: “El tratamiento que realizamos de sus datos personales responde a las siguientes finalidades: 1.- Gestionar correctamente la relación comercial que nos une con los clientes, garantizando una correcta gestión administrativa, comercial, logística y de atención al cliente, reservándonos el derecho a realizar las encuestas de calidad que estimamos oportunas en nombre de ofrecer productos y servicios de calidad. 2.- Informar sobre nuevos productos, servicios, promociones e invitaciones a eventos que puedan ser de su interés utilizando cualquiera de los medios físicos y electrónicos existentes en la actualidad y los que puedan surgir en un futuro. 3.- Realización de concursos o sorteos para promociones o campañas especiales.” - Plazo de conservación de sus datos. Se conservaran mientras dure la relación comercial para llevar a cabo la gestión administrativa, comercial, logísticas, de atención al cliente y de control de calidad. Una vez finalizada ésta, indican los distintos plazos en función de la legislación mercantil o tributaria aplicable. Señalan que: “En cuanto a la finalidad de informar sobre nuevos productos, servicios, promociones e invitaciones que puedan ser de su interés, los daos se conservarán mientras no ejerza su derecho de supresión. Y en el caso de datos recogidos con motivo de concursos o sorteos, y para disponer de ellos para el supuesto de posibles reclamaciones o impugnaciones, sus datos personales se conservarán hasta 1 año después de 5/21 celebrado el concurso o sorteo.” - Decisiones automatizadas y elaboración de perfiles. No hay decisiones automatizadas incluyendo la elaboración de perfiles. - Legitimación y Datos recogidos. Sobre esta cuestión informan lo siguiente: “La base jurídica para informarle sobre productos, servicios, promociones e invitaciones, así como para los sorteos y concursos, es su consentimiento otorgado mediante manifestación de voluntad libre y específica. La contratación del cliente de cualquier producto o servicio ofrecido por los responsables, sea vía página web, documento físico o teléfono; el otorgamiento del consentimiento para recibir información sobre nuevos productos, servicios, promociones, invitaciones para participar en eventos o sorteos y concursos; o la remisión de correos electrónicos a los responsables, a través de las cuentas habilitadas al efecto, implican que el usuario manifiesta haber leído y aceptado expresamente la presente política de privacidad, y otorga su consentimiento inequívoco y expreso al tratamiento de sus datos personales conforme a las finalidades indicadas.” -Categorías de datos. Se tratan: Datos personales identificativos, datos de características personales y datos económicos. Dirección IP y hora de acceso al formulario web de recogida de datos. - Medidas de Seguridad. Informan sobre la adopción de medidas a las que se refiere el artículo 32 del RGPD. - Cesión de Datos. Se refieren a las cesiones establecidas por norma legal; a bancos para la gestión bancaria derivada de la venta de productos y/o servicios; No se prevén transferencias internacionales de datos. - Derechos del Usuario. Citan los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición al tratamiento, portabilidad de los datos y revocación del consentimiento otorgado. - ¿Cómo ejercitar mis derechos?. Señalan que “Para ejercer sus derechos debe dirigirse al responsable, solicitando el correspondiente formulario para el ejercicio del derecho elegido. Opcionalmente, puede acudir a la Autoridad de Control competente para obtener información adicional sobre sus derechos.” Recuerdan también que los datos de contacto para el ejercicio de derechos son los que constan en el encabezamiento. - Consentimiento para el envío de comunicaciones electrónicas. A este respecto informan que de acuerdo con la LSSI, al completar el formulario de recogida de datos y marcando la correspondiente casilla “Acepto el envío de comunicaciones electrónicas”, Uno, está otorgando el consentimiento expreso para que le envíen a su dirección de correo electrónico, teléfono, fax u otro medio electrónico información sobre nuestra empresa.” SÉPTIMO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es HECHOS Primero: Con fecha 18 de junio de 2018 se registra de entrada en la AEPD reclamación en la que, en síntesis, el reclamante expone que la información ofrecida en la página de contacto del sitio web ***URL.1 incumple las exigencias recogidas en la nueva normativa europea de protección de datos. Segundo: Dña. IVT es responsable de la página web https://***URL.1 y del tratamiento de los datos personales recabados a través del formulario de contacto incluido en dicha página web, según consta en la información del viso Legal del sitio web. Tercero: En todos los accesos realizados se constata que el sitio web ***URL.1 contaba con un formulario de contacto a través del cual la responsable del tratamiento recaba, junto con el asunto y mensaje del contacto, el nombre, e-mail y teléfono (datos personales) de los usuarios que cumplimentaban dicho formulario. La página de contacto que incluye el formulario contiene la siguiente información: 1. Responsable de los datos: IVT; 2. Finalidad de los datos: Envío de presupuestos; 3. Almacenamiento de los datos: Base de Datos alojada en web ***URL.1 IVT (UE); 4. Derechos: En cualquier momento puedes limitar, recuperar y borrar tu información. (El texto subrayado es un enlace); los datos de contacto: info@***URL.1, ***URL.1 y el teléfono ***TELEFONO.1. Cuarto: En los accesos realizados con fechas 26 y 27 de noviembre de 2018 se constata que al pie del formulario figura una casilla sin cumplimentar junto con el texto: “He leído y acepto las políticas de privacidad.”, bajo el cual aparece el botón “Enviar”. El texto subrayado es un enlace que al ser pulsado dirige a la página ***URL.1 del reseñado sitio, aunque la única información ofrecida bajo el título “Políticas de Privacidad” se limitaba a los siguientes datos de contacto del responsable: info@***URL.1, ***URL.1 y ***TELEFONO.1. El enlace con el texto “puedes limitar, recuperar y borrar tu información” que figuraba en el punto 4 de Derechos no conducía a ninguna información o documento al ser pulsado. Quinto: En los accesos efectuados con fechas 10 y 11 de julio de 2019 se observa: 5.1 Que al pie del formulario figura una casilla sin cumplimentar junto con el texto: “Doy el expreso consentimiento al tratamiento de mis datos personales, según el que se expresa en políticas de Privacidad de IVT (Publi-Net Comunicación). Los datos de carácter personal que se faciliten mediante este formulario se enviarán por correo electrónico y quedarán registrados en un fichero de IVT (Publi-Net Comunicación), con la finalidad de contestar las consultas y obtener datos estadísticos de las mismas. En cualquier momento, se pueden ejercitar los derechos de acceso, rectificación, cancelación, oposición y olvido, escribiendo a nuestro correo electrónico o correo postal.”, bajo el cual está el botón “Enviar” (El texto subrayado es un enlace que al ser pulsado conduce a la “Política de Privacidad” del sitio web, lo que ocurre también al pulsar el enlace con el texto “puedes limitar, recuperar y borrar tu información”). Se mantiene la información referida en el segundo párrafo del Hecho Probado anterior 7/21 Tercero. 5.2 Que la información proporcionada en el documento “Política de Privacidad”, a la que se accede a través del enlace “políticas de privacidad” señalado en el hecho 5.1 anterior, y cuyo extracto figura en el Antecedente de Hecho Sexto, no se adecua a lo previsto en las letras
  4. a)y
  5. c)del apartado 1 del artículo 13 del RGPD ni, tampoco, a lo dispuesto en las letras
  6. d)y
  7. e)del apartado 2 del mismo precepto. Sexto: La página web ***URL.1 no ofrece a los usuarios del portal un enlace permanente a la “Política de Privacidad” que resulte fácilmente visible a los mismos en función de su ubicación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y apartados
  8. b)y
  9. d)del artículo 58.2 del RGPD reconocen a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD indica: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 64.2.
  10. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  11. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la AEPD). En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
  12. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba la sanción de apercibimiento a imponer, en su caso, con arreglo a los criterios tenidos en cuenta en función de las evidencias obtenidas a esa fecha y se señalaban determinadas medidas en orden a lo dispuesto en el artículo 58.2.
  13. d)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
  14. f)de la LPACAP, el acuerdo de inicio del presente procedimiento sancionador es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada, y, tras su notificación en la forma descrita en el antecedente de hecho quinto, la reclamad no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por lo tanto, de conformidad con dichas definiciones, la recogida de datos de carácter personal a través de formularios habilitados al efecto constituye un tratamiento de datos, respecto del cual el responsable del tratamiento, en este caso la reclamada, está obligada a cumplir lo dispuesto en los artículos 12.1 y 13 del RGPD. El artículo 12 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, en su apartado 1 establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” En el presente supuesto se imputa a la reclamada, responsable de la obligación de poner a disposición de los interesados en el momento en el que les solicita los datos a través del formulario de contacto, y previamente a su recogida, la vulneración de lo establecido en el artículo 13 del RGPD, precepto que en cuanto a la Información que deberá facilitarse cuando los datos personales se obtengan del interesado.”, determina que: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: 9/21
  15. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  16. b)los datos de contacto del delegado de protección de datos, en su caso;
  17. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  18. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  19. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  20. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  21. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  22. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  23. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  24. d)el derecho a presentar una reclamación ante una autoridad de control;
  25. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  26. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es A su vez, ambos preceptos, se relacionan con lo dispuesto en los Considerandos 60 y 61 del citado RGPD, que establecen: “

(60)Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantiza r un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presentan en formato electrónico deben ser legibles mecánicamente.
(61)Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información general.” Por su parte, respecto de los derechos de “Transparencia e información al afectado”, el artículo 11 de la LOPDGDD establece que: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  1. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  2. b)La finalidad del tratamiento.
  3. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679. 3. Cuando los datos personales no hubieran sido obtenidos del afectado, el 11/21 responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. En estos supuestos, la información básica incluirá también:
  4. a)Las categorías de datos objeto de tratamiento.
  5. b)Las fuentes de las que procedieran los datos.” IV En el presente supuesto, partiendo de la información facilitada por el reclamante en junio de 2018 y del resultado de los accesos realizados en noviembre de 2018 a la página web ***URL.1, se constató que a través del formulario de contacto obrante en dicha página web se recogían datos personales de los usuarios que lo cumplimentaban sin que en el momento de la recogida fueran informados por la reclamada, responsable y titular de la citada página web, de los aspectos contenidos en el artículo 13 del RGPD, excepción hecha de la identidad y datos de contacto de la reclamada incluidos en la página de contacto del formulario, tal y como se refleja en el Hecho Probado Tercero de esta resolución. Sin perjuicio de que la conducta anteriormente descrita sustenta la existencia de responsabilidad de la reclamada en la comisión de la infracción imputada, con fechas 10 y 11 de julio de 2019 se accede al mencionado sitio web a los efectos de poder determinar, conforme a lo dispuesto en el artículo 58.2.
  6. d)del RGPD, las operaciones de tratamiento a ordenar a la reclamada para que la información ofrecida se ajuste a lo dispuesto en el mencionado artículo 13 de dicho Reglamento. A raíz de dichos accesos se constata que la reclamada había modificado el contenido del texto que aparecía junto a la casilla sin cumplimentar situada debajo del formulario, habiendo también dotado de contenido a la “Política de Privacidad” del sitio web. En estos accesos también se comprueba que parte de la información ofrecida vulnera las exigencias recogidas en el artículo 13 del RGPD al resultar incompleta o incorrecta, tal y como se desprende e las irregularidades descritas en el Hecho Probado Quinto de la presente resolución. Respecto de la información básica actualmente ofrecida en la página que muestra el formulario de recogida de datos de contacto (Hecho Probado 5.1) se observa lo siguiente: 1) Se menciona erróneamente el derecho de cancelación en el texto que aparece junto a la casilla sin cumplimentar. No se alude a que los derechos establecidos en los artículos 15 al 22 que no se citan aparecen en el correspondiente epígrafe de la “Política de Privacidad”. 2) No se indica que la información adicional restante se muestra en la “Política de Protección de Datos”. 3) La información ofrecida en relación con el otorgamiento del consentimiento se considera incorrecta en razón de los argumentos expresados en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es siguiente Fundamento de Derecho. Respecto de la información ofrecida en el documento “Política de Privacidad” se observa lo siguiente: 1) En cuanto a la identidad del responsable, aspecto recogido en el artículo 13.1.
  7. a)del RGPD, en el campo denominado “Identificación de la entidad responsable del tratamiento de datos personales”, no se facilita el nombre y apellidos de la responsable del tratamiento asociados al NIF de la persona física que proporciona, ello con independencia de que dicha identificación figure en la información obrante bajo el formulario de contacto. 2) La información contenida en el campo “Normativa aplicable” respecto de la prestación del consentimiento será también analizada en el siguiente Fundamento de Derecho. 3) En cuanto a los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento, aspecto recogido en el artículo 13.1.
  8. b)del RGPD, se observa: - Que en el campo denominado “Finalidad del Tratamiento de los Datos Personales”, la mención a la reserva del “derecho a realizar las encuestas de calidad que se estimen oportunas en nombre de ofrecer productos y servicios de calidad” debería separarse del tratamiento asociado a la gestión de la relación contractual con los clientes al ser un tratamiento que responde a fines publicitarios. Este campo no informa sobre la finalidad vinculada a la “de contestar las consultas y obtener datos estadísticos de las mismas” que se cita en la leyenda que figura junto a la casilla en blanco situada bajo el formulario de recogida de datos de contacto de los usuarios. - Que en el campo denominado “Legitimación y Datos recogidos” no se informa sobre la base jurídica que ampara el tratamiento de los datos recogidos a través del formulario de contacto, en este caso, el consentimiento otorgado por los interesados para “contestar las consultas y obtener datos estadísticos de las mismas”. Tampoco se informa sobre la legitimación con la que se cuenta para gestionar la relación comercial, contractual o precontractual con los clientes o la legitimación que, en su caso, opera por cumplimiento de las obligaciones legales a las que, por ejemplo, se refieren los campos relativos al plazo de conservación de los datos o cesión de datos. La información que se ofrece respecto de la prestación del consentimiento inequívoco y expreso al tratamiento de los datos personales será también analizada en el siguiente Fundamento de Derecho. 4) El derecho a presentar una reclamación ante una autoridad de control, aspecto recogido en el artículo 13.2.
  9. d)del RGPD, no debe identificarse con “acudir a la Autoridad de Control competente para obtener información adicional sobre sus derechos”, como se señala en el campo denominado ¿Cómo ejercitar mis derechos?. 5) No se informa a los interesados “si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;”, a las que se refiere el artículo 13.2.
  10. e)del RGPD. 13/21 6) En cuanto al campo “Consentimiento para envío de Comunicaciones Electrónicas”, que se regulan por el artículo 21 la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico, (en adelante, LSSI), la política de privacidad no ofrece un mecanismo específico para consentir el envío de comunicaciones comerciales por medios de comunicación electrónica que requieren de solicitud previa o autorización expresa de los posibles destinatarios, excepción hecha de que exista una relación contractual previa en los términos recogidos en el apartado 2 del artículo 21 citado, precepto que, se recuerda, obliga al prestador de servicios a ofrecer a los destinatarios de tales comunicaciones en el momento de la recogida de sus datos la posibilidad de oponerse al tratamiento de sus datos con fines promocionales por medios electrónicos. V En la información actualmente facilitada por la reclamada a los interesados cuyos datos personales solicita vía formulario web (nombre, e-mail y teléfono), la responsable del tratamiento vincula la obtención del consentimiento al tratamiento de los datos personales por éstos facilitados a la lectura y aceptación de la “Política de Privacidad”, tal y como se desprende de los siguientes contenidos, transcripción literal de la información reseñada: Al pie del formulario de contacto, junto a la casilla sin cumplimentar aparece indicado: “Doy el expreso consentimiento al tratamiento de mis datos personales, según el que se expresa en políticas de Privacidad de IVT (Publi-Net Comunicación). (…)” En la “Política de Privacidad”, en relación con la cuestión planteada aoarece: -En el campo “Normativa aplicable se informa que: “Al facilitar sus datos, usted declara haber leído y conocer la presente Política de Privacidad, prestando su consentimiento inequívoco y expreso al tratamiento de sus datos personales de acuerdo a los fines y términos aquí expresados.(…)” -En el campo “Legitimación y Datos recogidos” se informa que: “La base jurídica para informarle sobre productos, servicios, promociones e invitaciones, así como para los sorteos y concursos, es su consentimiento otorgado mediante manifestación de voluntad libre y específica. La contratación del cliente de cualquier producto o servicio ofrecido por los responsables, sea vía página web, documento físico o teléfono; el otorgamiento del consentimiento para recibir información sobre nuevos productos, servicios, promociones, invitaciones para participar en eventos o sorteos y concursos; o la remisión de correos electrónicos a los responsables, a través de las cuentas habilitadas al efecto, implican que el usuario manifiesta haber leído y aceptado expresamente la presente política de privacidad, y otorga su consentimiento inequívoco y expreso al tratamiento de sus datos personales conforme a las finalidades indicadas.” Los artículos 6 y 7 del RGPD se refieren, respectivamente, a la “Licitud del tratamiento” y las “Condiciones para el consentimiento”, estableciendo al respecto: Artículo 6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  11. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  12. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  13. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  14. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  15. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  16. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  17. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  18. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  19. c)y e), deberá ser establecida por:
  20. a)el Derecho de la Unión, o
  21. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional 15/21 al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  22. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  23. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  24. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  25. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  26. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Artículo 7 del RGPD. “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. A su vez, en relación con la licitud del tratamiento en los considerandos 32, 42, y 43 del RGPD se señala: “
(32)El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no deben C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos (…)” “
(42)Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo (LCEur 1993, 1071), debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.” “
(43)(…) Se presume que el consentimiento no se ha dado libremente cuando no permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aún cuando este no sea necesario para dicho cumplimiento.” Procede tener en cuenta, igualmente, lo establecido en el artículo 6 de la LOPDGDD: “Artículo 6. Tratamiento basado en el consentimiento del afectado 1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. De acuerdo con lo expresado, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como el consentimiento del interesado prestado válidamente. En el presente caso, la reclamada contempla en su política de privacidad la utilización de los datos personales obtenidos de los interesados con finalidades distintas del mero cumplimiento de la relación contractual o las derivadas del cumplimiento de las obligaciones legales aplicables al responsable del tratamiento. Esas finalidades contemplan contestar las consultas efectuadas vía formulario web por los propios interesados, obtener datos estadísticos de las consultas o su uso con fines 17/21 publicitarios (remisión de publicidad por diversos medios, realización de concursos o sorteos para promociones o campañas especiales), estando condicionada su licitud a la obtención del consentimiento de los interesados para el tratamiento de sus datos personales para cada uno de esos fines específicos. Sin embargo, la reclamada no informa, como tampoco ofrece mecanismos específicos para recabar, diferenciadamente y mediante una clara acción afirmativa, el consentimiento de los interesados en orden a la utilización de los datos personales para cada una de las finalidades anteriormente señaladas, habiendo estimado Dña. IVT que la mera aceptación de la política de privacidad por los usuarios mediante la cumplimentación de la casilla, en blanco, situada al pie del formulario conlleva la prestación de esos consentimientos. La reclamada limita las opciones de los interesados a la marcación de una casilla, pretendiendo que a través de ese mecanismo los interesados dejan constancia de su consentimiento a los diferentes tipos de tratamientos de datos en función de sus finalidades indicados en la política de privacidad. Sin embargo, con este mecanismo de aceptación de todos los tratamientos detallados mediante una acción única, que resulta de la aceptación de la política de privacidad, devendría en inválido el consentimiento prestado por el interesado respecto de la utilización de los datos con finalidades distintas a la ejecución del contrato o relación precontractual y el tratamiento para el cumplimiento de las obligaciones legales aplicables a la reclamada o, lo que es lo mismo, respecto de todos aquellos tratamientos que requieren recabar un consentimiento diferenciado. De conformidad con los preceptos legales y considerandos expuestos, no se cumple el requisito según el cual “el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen”. Además, el consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines, por lo que cuando el tratamiento tenga varios fines que requieran la obtención del consentimiento, éste deberá prestarse para todos ellos. En este caso, se estima que el mecanismo informado por la responsable del tratamiento impide expresar a los interesados una acción afirmativa clara, libre, específica e inequívoca de aceptación respecto de cada uno de los tratamientos con finalidades distintas que se pretenden llevar a cabo con la información de carácter personal solicitada (Considerando 32), a la par que impide al responsable del tratamiento demostrar la existencia de consentimiento separado de los interesados para cada uno de esos tratamientos diferenciados (Considerando 42). En consecuencia, la reclamada vulnera el derecho de información de los interesados cuyos datos personales recaba de los mismos a través del formulario de contacto incluido en la página web titularidad de Dña. IVT. VI Los apartados b),
  1. d)e
  2. i)del artículo 58.2 del RGPD disponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  3. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  4. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.
  6. b)señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
  7. a)a
  8. h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  9. b)Los derechos de los interesados a tenor de los artículos 12 a 22;”. Por su parte, el artículo 71 de la LOPDGDD establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.”, estableciéndose en el artículo 74 de dicha Ley que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes: 1.El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” De lo razonado, se evidencia que la reclamada no facilita a los interesados a los que solicita datos personales, en el momento de su obtención, información sobre todos los extremos reseñados en el artículo 13 del RGPD, siendo también incorrecta o parcial la información proporcionada respecto de algunos de ellos. Los hechos descritos constituyen una infracción al deber de informar recogido en el mencionado artículo 13 del RGPD en su relación con lo previsto en los apartados 1 y 2 del artículo 11 de la LOPDGDD, tipificada en el artículo 83.5.
  10. b)del RGPD y calificada como leve a efectos de prescripción en el artículo 74.
  11. a)de la LOPDGDD, 19/21 imputable a la reclamada, que como responsable de dicho tratamiento debe de tomar las medidas necesarias para implementar los mecanismos adecuados para facilitar a los interesados que cumplimentan el reseñado formulario, con anterioridad a la obtención de los datos personales solicitados, la información indicada en el artículo 13 del RGPD en congruencia con lo dispuesto en el artículo 6 del RGPD, en particular respecto de los mecanismos implantados para obtener el consentimiento de los afectados para el tratamiento de sus datos personales para uno o varios fines específicos. El Considerando 148 del RGPD señala que: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” A la vista de lo cual, en el presente caso, se estima adecuado imponer la sanción de apercibimiento prevista en el artículo 58.2.
  12. b)del RGPD, a la vista de las siguientes circunstancias: el responsable del tratamiento una persona física cuya actividad principal no se vincula con el tratamiento de datos de carácter personal; la ausencia de intencionalidad en la conducta infractora, como se desprende de la reacción mostrada por la reclamada introduciendo, una vez recibido el acuerdo de inicio del procedimiento, una serie de cambios para adecuar la información ofrecida en la política de privacidad al derecho de información de los usuarios cuyos datos personales iban a ser recabados de los mismos, ello sin perjuicio de que las correcciones efectuadas resultasen insuficientes; amén de que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
  13. b)del RGPD constituiría una carga desproporcionada para la reclamada y de que a ésta no le consta la comisión de ninguna infracción anterior en materia de protección de datos. Sentado lo anterior, resulta oportuno aplicar lo establecido en el citado artículo 58.2.
  14. d)del RGPD en orden a que, por parte de la reclamada, se lleven a cabo las actuaciones (medidas técnicas y organizativas) necesarias para que la información facilitada a los usuarios que cumplimentan el formulario de contacto obrante en el sitio web de su titularidad contemple todos los aspectos fijados en el artículo 13 del RGPD en su relación con lo dispuesto en los apartados 1 y 2 del artículo 11 de la LOPDGDD, para lo que deberá tener en cuenta lo dispuesto en el artículo 6.1.
  15. a)del RGPD en relación con la licitud del tratamiento. Se observa que el apartado 6 del artículo 83 del RGPD, establece que “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es El artículo 72.1.
  16. m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.1, una sanción de APERCIBIMIENTO por una infracción a lo previsto en el artículo 13 del RGPD en su relación con lo dispuesto en los apartados 1 y 2 del artículo 11 de la LOPDGDD, tipificada en el artículo 83.5.
  18. b)del RGPD, de conformidad con lo previsto en el artículo 58.2.
  19. b)del RGPD. SEGUNDO: ORDENAR a Dña. B.B.B., de conformidad con lo dispuesto en el artículo 58.2.
  20. d)del RGPD, la adopción e implementación de las medidas necesarias para que la información ofrecida en el sitio web ***URL.1 de su titularidad responda íntegramente a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios del portal, en el momento en que recabe los datos personales de los mismos a través del formulario de contacto, toda la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. En cualquier caso, la reclamada deberá acreditar los mecanismos implantados para facilitar el resto de información que debe ponerse a disposición de los afectados así como la subsanación de los aspectos puestos de manifiesto en la presente resolución en cumplimiento del derecho de información regulado en el RGPD, especialmente en lo relacionado con la información referida a la obtención de consentimientos diferenciados para el tratamiento de los datos personales en función de cada uno de los fines específicos. La reclamada deberá probar ante esta Agencia la realización de dichas actuaciones en el plazo de UN MES, computado desde la fecha en la que se notifique esta resolución sancionadora, mediante la aportación de documentación o cualquier otro medio de prueba válido en derecho que permita verificar la adecuación de la información facilitada en el sitio web al derecho de transparencia e información de los interesados cuyos datos se requieren vía formulario web. TERCERO: NOTIFICAR la presente resolución a Dña. B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la 21/21 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.