PS-00378-2023

(2)y 15 de Marzo de 2023. Tramito baja del boletín el día 15 03 23 a través del enlace que disponen en el email comercial y me llega confirmación instantánea de confirmación de la baja. Para mi asombro el día 27 04 23 , vuelvo a recibir otro email comercial. Entonces accedo a la web https://www.shopbuo.com/politica-deprivacidad y encuentro el email hola@pulpo.club como contacto de privacidad , por lo que antes de iniciar este procedimiento, envío un email a esa dirección exigiendo el cese inmediato de las comunicaciones comerciales, sin embargo me llega email indicando que la dirección de email no existe, por lo que no me dejan más remedio que abrir esta reclamación. He observado que la web www.shopbuo.com no dispone de aviso legal y encima el email de protección de datos no funciona”. Junto a los escritos de reclamación, se acompaña la siguiente documentación: - Copia de la “Política de Privacidad” de la web www.shopbuo.com, (https://www.shopbuo.com/politica-de-privacidad), donde se puede leer entre otras cuestiones, lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid “(…) Contáctenos: No dude en ponerse en contacto con nosotros si tiene alguna pregunta. Vía Email: hola@pulpo.club. A través de este enlace: https://shopbuo.com . www.aepd.es sedeagpd.gob.es 2/12 - Copia de los correos electrónicos recibidos por el reclamante los días 11/03/23 y 14/03/23, desde la dirección de correo ***EMAIL.1@support.shopbuo.com conteniendo mensajes publicitarios. En dichos correos se puede leer el siguiente mensaje en la parte final del mismo: o “ (…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras, pero puedes <<cancelar la suscripción>> si no quieres recibir más emails como éste. Para más información consulta: www.shopbuo.com - Copia del correo electrónico recibido por el reclamante el día 15/03/23, enviado desde la dirección de correo services@support.shopbuo.com, conteniendo el acuse de recibo de haberle dado de baja del correo electrónico e indicándole que no recibirá ningún otro correo electrónico de “Buo”. - Copia del correo electrónico recibido el día 27/04/23, desde la dirección de correo hello@buo.so, conteniendo mensajes publicitarios. En dicho correo se puede leer el siguiente mensaje, en la parte final del mismo: o - “(…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras, pero puedes <<cancelar la suscripción>> si no quieres recibir más emails como éste. Para más información consulta: www.shopbuo.com”. Copia del correo electrónico enviado el 27/04/23 desde la dirección de correo del reclamante a la dirección de correo hola@pulpo.club en el cual se puede leer el siguiente mensaje: o “Hola Me di de baja el 15 de Marzo y sigo recibiendo emails, no quisiera poner una denuncia en la AEPD, por lo que les doy el plazo de 3 días para que me confirmen OTRA VEZ la baja y me aseguren que no voy a recibir ningún otro email”. - Copia de la respuesta recibida el mismo día 27/04/23 desde la dirección de correo “Mail Delivery Subsystem <mailer-daemon@googlemail.com> con el siguiente mensaje escrito en inglés (traducido al castellano): “Dirección no encontrada. Su mensaje no fue entregado a hola@pulpo.club porque no se pudo encontrar la dirección o no se puede recibir correo”. - Copia del correo electrónico recibido por el reclamante el 10/05/23, desde la dirección de correo, hello@buo.so conteniendo un mensaje publicitario. En dicho correo se puede leer el siguiente mensaje, en la parte final del mismo: o “(…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras, pero puedes <<cancelar la suscripción>> si no quieres recibir más emails como éste. Para más información consulta: www.shopbuo.com”. SEGUNDO: Con fecha 09/06/23, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, fue enviado a la parte reclamada el día 09/06/23 a través del servicio de notificaciones electrónicas, “NOTIFIC@”, siendo rechazado de forma automática el día 20/06/23. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se envió una copia por correo postal a la dirección indicada en el Registro Mercantil Central como dirección social: ***DIRECCION.1, fue devuelta a destino el 26/07/23, con el mensaje de “desconocido”. TERCERO: Con fecha 27/07/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD. CUARTO: Con fecha 12/09/23, por parte de esta Agencia se realizan las siguientes comprobaciones diligenciadas, con respecto a las indicaciones que se incluyen en los correos electrónicos publicitarios: a).- Si se cliquea en la opción <<puedes cancelar la suscripción>>, incluido en los correos electrónicos publicitarios enviados por la parte reclamada, aparece el siguiente mensaje escrito en inglés,(traducido al castellano): “¿Quieres darte de baja de nuestros correos electrónicos? Dejarás de recibir correos electrónicos nuestros. <<Cancelar suscripción>> Descargo de responsabilidad: este correo electrónico se envió a través de Crisp para el sitio web: shopbuo.com No somos responsables de ningún abuso de ese sitio web. Respetamos todas las solicitudes de cancelación de suscripción por correo electrónico. Si el sitio web abusa de su bandeja de entrada de correo electrónico, comuníquese con el sitio web primero. Si aún recibe correos electrónicos después de hacerlo, comuníquese con Crisp en: abuse@crisp.chat” Si se cliquea en la opción de <<cancelar suscripción>> aparece el siguiente mensaje escrito en inglés (traducido al castellano): ¡Darse de baja de los correos electrónicos! ¡Entendido! No recibirás más correos electrónicos. — ¿Volver a suscribirse? Descargo de responsabilidad: este correo electrónico se envió a través de Crisp para el sitio web: shopbuo.com No somos responsables de ningún abuso de ese sitio web. Respetamos todas las solicitudes de cancelación de suscripción por correo electrónico. Si el sitio web abusa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 de su bandeja de entrada de correo electrónico, comuníquese con el sitio web primero. Si aún recibe correos electrónicos después de hacerlo, comuníquese con Crisp en: abuse@crisp.chat b).- Si se accede a la página web https://www.shopbuo.com, se comprueba que, a través del enlace existente en la parte superior de la mismas <<descargar la app>>, https://www.shopbuo.com/soy-un-consumidor, aparece un código QR que posibilita la descarga de la app, “Shop Buo”. Se observa que en la “Política de Privacidad” de la web https://www.shopbuo.com/politica-de-privacidad, si se desea contactar con el responsable a través del correo electrónico indicado en la página (hola@pulpo.club), se recibe un mensaje de respuesta instantáneo que indica, “Tu mensaje no fue entregado a hola@pulpo.club porque no se pudo encontrar la dirección o no se puede recibir correo”. QUINTO: Con fecha 05/10/23, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por las presuntas infracciones del artículo 21.1 de la LSSI, tipificada como “leve” en el art. 38.4.

1. d)de dicha norma y del artículo 21 del RGPD, tipificada en el artículo 83.5.
2. b)de la citada norma. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase de la instrucción ascendería a un total de 2.500 euros (dos mil quinientos euros), en el caso de la infracción del artículo 21 de la LSSI y de 5.000 euros (cinco mil euros), en el caso de la infracción del artículo 21 del RGPD. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas de acuerdo con lo establecido en el citado artículo 58.2
3. d)del RGPD. Además se indicó a la parte reclamada que, si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podría ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
4. f)de la LPACAP. Este acuerdo de inicio, que se notificó a la parte reclamada conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 06/10/23. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna a la incoación del expediente, en esta Agencia. El artículo 64.2.
5. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción de la LSSI atribuida al reclamado y la sanción que podrían imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
6. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Único: En el escrito de reclamación, el reclamante manifiesta que después de desinstalar la app “Shop Buo” de su móvil, empezó a recibir emails comerciales de la misma empresa. Que tramitó la baja del boletín a través del enlace que se incluía en el email comercial recibiendo el acuse de recibo de haber tramitado correctamente la baja. No obstante, después de ello volvió a recibir nuevos correos electrónicos publicitarios de la misma empresa, presentando, para corroborarlo, los siguientes documentos: - Copia de los correos electrónicos recibidos por el reclamante los días 11/03/23 y 14/03/23, desde la entidad reclamada conteniendo mensajes publicitarios. - Copia del correo electrónico recibido por el reclamante el día 15/03/23, enviado por la entidad reclamada, conteniendo el acuse de recibo de haberle dado de baja del correo electrónico e indicándole que no recibiría ningún otro correo electrónico de “Buo”. - Copia del correo electrónico recibido el día 27/04/23, desde la dirección de la entidad reclamada conteniendo mensajes publicitarios. - Copia del correo electrónico enviado el 27/04/23 por el reclamante a la entidad reclamada solicitando de nuevo la baja de sus datos para no volver a recibir más correos electrónicos publicitarios. - Copia de la respuesta recibida el mismo día 27/04/23 desde dirección de correo “Mail Delivery Subsystem <mailer-daemon@googlemail.com> con el siguiente mensaje escrito en inglés (traducido al castellano): “Dirección no encontrada. Su mensaje no fue entregado a hola@pulpo.club porque no se pudo encontrar la dirección o no se puede recibir correo”. - Copia del correo electrónico recibido por el reclamante el 10/05/23, desde la entidad reclamada conteniendo un mensaje publicitario. FUNDAMENTOS DE DERECHO I. Competencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Respecto de los mensajes publicitarios enviados, es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la LSSI. La Disposición adicional cuarta de la LOPDGDD establece, sobre el "Procedimiento en relación con las competencias atribuidas a la AEPD por otras leyes", que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la web https://www.shopbuo.com, es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. II. Síntesis de los hechos: Según manifiesta el reclamante, tras descargarse la app “Shop Buo”, empezó a recibir emails comerciales de la empresa en cuestión y después de darse de baja, a través del enlace que se incluye en los correos y de recibir la confirmación de la baja siguió recibiendo correos electrónicos publicitarios de la empresa. Tras lo cual, accedió a la “Política de Privacidad” de la web https://www.shopbuo.com (https://www.shopbuo.com/politica-deprivacidad), e intentó ponerse en contacto con el responsable de la misma a través del correo electrónico que se indicaba a tal efecto, hola@pulpo.club pero recibió una respuesta instantánea donde le informaban de que dicha dirección de correo no era válido o no existía. III.-1 Tipificación de la infracción cometida por el envío de comunicaciones comerciales El hecho de que el reclamado envíe correos electrónicos publicitarios al reclamante habiendo éste solicitado que no le envíen más publicidad constituye una vulneración de lo establecido en el artículo 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” III.-2 Sanción La citada infracción del artículo 21 de la LSSI, se encuentra tipificada como leve en el art. 38.4.
7. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 2.500 euros, (dos mil quinientos euros), por la infracción del artículo 21 de la LSSI, al enviar mensajes publicitarios al reclamante, habiéndose opuesto a ello previamente. IV.-1 Sobre el tratamiento de los datos personales de la web y la “Política de Privacidad” Se ha observado que en la “Política de Privacidad” de la web https://www.shopbuo.com/politica-de-privacidad, si se desea contactar con el responsable del sito, a través del correo electrónico indicado en la página (hola@pulpo.club), se recibe un mensaje de respuesta automática indicado que dicha dirección de correo es incorrecta o no existe. A este respecto, el RGPD establece en el art. 21, “Derecho de oposición”, lo siguiente: “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
8. e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público”. Esto es, la persona titular de los datos personales puede ejercitar ante el responsable del tratamiento una serie de derechos respecto de dichos datos, y por tanto, el hecho de que la dirección de correo electrónico indicada por el responsable de la web, hola@pulpo.club para poder ponerse en contacto con él no exista en realidad o no se pueda acceder a ella, supone la vulneración del artículo 21 del RGPD, dando lugar, además, a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. IV.-2 sanción De confirmarse, el incumplimiento del precepto indicado podría suponer la comisión de una infracción tipificada en el artículo 83.5.
9. b)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
10. b)los derechos de los interesados a tenor de los artículos 12 a 22”. En lo que respecta a los plazos de prescripción, el artículo 72.1.
11. k)de la LOPDGDD, establece: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
12. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los apartados 1 y 2 del artículo 83 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
13. a)a
14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
16. b)la intencionalidad o negligencia en la infracción;
17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
21. g)las categorías de los datos de carácter personal afectados por la infracción;
22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
26. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
27. a)El carácter continuado de la infracción.
28. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
29. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
30. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
31. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 que no puede imputarse a la entidad absorbente.
32. f)La afectación a los derechos de los menores.
33. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
34. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones a imponer en el presente caso, se considera que procede graduar la multa de acuerdo con los siguientes criterios: - El alcance o propósito de la operación de tratamiento de datos, así como los interesados afectados, (artículo 83.2.a): En relación con el número de interesados afectados se tiene en consideración todos los potencialmente afectados, usuarios de la web. Con arreglo a lo anterior, se estima adecuado imponer una sanción de 5.000 euros (cinco mil euros), por la infracción del artículo 21 RGPD. IV.-3 Adopción de Medidas Confirmada las infracciones, procede imponer a la parte denunciada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
35. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el texto de la presente resolución se establecen cuál ha sido la infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte reclamada para que, en el plazo de un mes, realice las modificaciones necesarias en su página web y habilite una dirección de correo electrónico válida para que los usuarios puedan ponerse en contacto con él y poder ejercer, si lo desean, sus derechos en materia de protección de datos. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ROUNDED TECHNOLOGIES, S.L., con CIF.: B01673862, las multas siguientes: - Por infracción del artículo 21 de la LSSI, tipificada en el artículo 38.4.
36. d)de la citada norma, una multa de 2.500 euros (dos mil quinientos euros). - Por infracción del artículo 21 del RGPD, tipificada en el artículo 83.5.
37. b)de la citada norma, una multa de 5.000 euros (cinco mil euros). SEGUNDO: : ORDENAR a ROUNDED TECHNOLOGIES, S.L., que en virtud del artículo 58.2.
38. d)del RGPD, en el plazo que un mes a contar desde la notificación del presente acto, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho IV.-3. En el mismo plazo indicado, deberá justificar ante esta Agencia Española de Protección de Datos la atención de este requerimiento. TERCERO NOTIFICAR la presente resolución a ROUNDED TECHNOLOGIES, S.L., CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es