PS-00407-2020

1/5  Procedimiento Nº: PS/00407/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00407/2020, instruido por la Agencia Española de Protección de Datos, a D. A.A.A., (VERSUS TECHNOLOGIES SL), con NIF.: ***NIF.1 titular de la página web https://sunsy.shop, (en adelante, “la parte reclamada”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/09/20, tienen entrada en esta Agencia, escritos de reclamación presentados por D. B.B.B., (en adelante, “la parte reclamante”), en los que indica, entre otras, lo siguiente: “Me di de alta en la web referenciada para realizar una compra de unas sandalias. Tras casi un mes de espera finalmente recibimos el pedido con una mercancía de muy baja calidad e incumpliendo sus plazos de entrega. No hay albarán, ni factura, ni datos societarios. Solicito realizar la devolución y se niegan, a pesar de tener derecho de desistimiento. Revisando su web en las URL: https://sunsy.shop/policies/privacy-policy no tienen información relativa a sus datos societarios, ni a los derechos de RGPD”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 06/10/20, se accede a la página web denunciada, comprobando que, en su política de privacidad, existe, entre otra, información sobre, la finalidad del tratamiento de los datos personales; cómo obtienen el consentimiento y la transferencia de datos a terceros. No obstante, sobre la identificación del responsable del tratamiento de datos de la web se indica: “Nuestra tienda se encuentra alojada en Shopify Inc. Ellos nos proporcionan la plataforma de comercio electrónico en línea que nos permite venderte nuestros productos y servicios. Tus datos se almacenan a través del almacenamiento de datos de Shopify, bases de datos y la aplicación general de Shopify. Tus datos se almacenan en un servidor seguro detrás de un rewall (…)”. Si quieres acceder, corregir, enmendar o borrar cualquier información personal que poseamos sobre ti, registrar una queja, o simplemente quieres más información contacta a nuestro Oficial de Cumplimiento de Privacidad sunsy.ocial@gmail.com o por correo postal a Sunsy”. TERCERO: Con fecha 15/10/20 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la LPDGDD. CUARTO: Con fecha 15/10/20, se comprueba que el sitio web denunciado https://sunsy.shop/ , había sido cerrado. No obstante, mediante la herramienta de internet WHOIS se comprueba que se ha utilizado como titular del registro del dominio del sitio web, la sociedad interpuesta WhoisGuard INC. con sede en la República de Panamá y dado que, según la política de privacidad, obtenida del sitio web, se menciona que utiliza plataforma de comercio electrónico SHOPIFY de la compañía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SHOPIFY INTERNATIONAL INC, se realiza requerimiento de información sobre la titularidad del sitio web reclamado, recibiéndose el 02/11/20, contestación de SHOPIFY, identificando a la parte reclamada como titular de la página web QUINTO: Notificado el acuerdo de inicio del expediente sancionador, la entidad reclamada, mediante escrito de fecha 25/01/20, formuló alegaciones al mismo, reproducidas en el escrito de propuesta de resolución. SEXTO: Con fecha 17/03/21, por parte de esta Agencia, se vuelven a acceder a la web indicada, https://sunsy.shop comprobándose que la misma ya no existe, ofreciéndose en su lugar un banner con la siguiente información: “No se puede acceder al sitio web”. SÉPTIMO: Con fecha 09/04/21, se notifica la propuesta de resolución a la parte reclamada, en la cual, se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione con “apercibimiento” a la persona reclamada, por la infracción cometida del artículo 13 del RGPD, respecto de la falta de información en la política de privacidad en su página web, durante el tiempo que estuvo activa la página indicada hasta que fue clausurada. OCTAVO: Tras la notificación de la propuesta de resolución, no se ha recibió en esta Agencia, ningún escrito de alegaciones a la misma, en el plazo concedido al efecto. HECHOS PROBADOS 1º.- Según la reclamación presentada, el día 20/09/20, en esta Agencia, las páginas web, https://sunsy.shop/policies/privacy-policy no tenía información relativa a sus datos societarios, ni a los derechos de RGPD”. 2.- Esta Agencia pudo constatar, el día 06/10/20, que en dicha página web se podían obtener datos personales de los usuarios, a través del formulario existente para la compra online de los productos ofrecidos. Se comprobó también que, en su política de privacidad existía, entre otra, información sobre, la finalidad del tratamiento de los datos personales; cómo obtienen el consentimiento y la transferencia de datos a terceros. No obstante, sobre la identificación del responsable del tratamiento de datos solamente se indicaba lo siguiente: “Nuestra tienda se encuentra alojada en Shopify Inc. Ellos nos proporcionan la plataforma de comercio electrónico en línea que nos permite venderte nuestros productos y servicios. Tus datos se almacenan a través del almacenamiento de datos de Shopify, bases de datos y la aplicación general de Shopify. Tus datos se almacenan en un servidor seguro detrás de un rewall (…)”. Si quieres acceder, corregir o borrar información personal que poseamos sobre ti, registrar una queja, o simplemente quieres más información contacta a nuestro Oficial de Cumplimiento de Privacidad sunsy.ocial@gmail.com o por correo postal a Sunsy”. 3.- Con fecha 15/10/20, se comprueba que el sitio web denunciado https://sunsy.shop/, había sido ya cerrado. No obstante, como en la política de privacidad del sitio web se mencionaba que utilizaba la plataforma de comercio electrónico SHOPIFY de la compañía SHOPIFY INTERNATIONAL INC, se dirigió requerimiento informativo a esta entidad para que identificase al responsable del sitio web en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 4.- Con fecha 02/11/20, se recibe contestación de la entidad SHOPIFY identificando al titular del sitio web denunciado como: A.A.A.. 5.- Con fecha 17/03/21, por parte de esta Agencia, se vuelven a comprobar que el sitio web denunciado ya no existe, por lo que no es posible corroborar lo expuesto por el reclamado en su escrito de alegaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento, respecto de la política de privacidad y el tratamiento de los datos personales de los usuarios de las webs, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, según las manifestaciones del reclamante hechas el 20/09/20, la web denunciada https://sunsy.shop, no cumpliría con la normativa de protección de datos, en relación con la inexistencia de la información necesaria de sus datos societarios, ni de los derechos recogidos en el RGPD. Por parte de esta Agencia, con fecha 06/10/20, se comprobó que, en la política de privacidad de su página web https://sunsy.shop/policies/privacy-policy existía, entre otra, información sobre la finalidad del tratamiento de los datos personales; cómo obtenían el consentimiento e información sobre la transferencia de datos a terceros. No obstante, en dicha política de privacidad no existía ningún tipo de información sobre la identificación del responsable del tratamiento de los datos y sobre la posibilidad de ejercitar los derechos reconocidos en el RGPD, solamente se indicaba que “se podía enviar un electrónico a la dirección sunsy.ocial@gmail.com”. Consultada la página indicada, el 15/10/20 y el 17/03/21, se ha podido constatar que el sitio web denunciado https://sunsy.shop/ , ya no existe. III El artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por parte de esta Agencia, con fecha 06/10/20, se comprobó que, en la política de privacidad de su página web https://sunsy.shop/policies/privacy-policy existía, entre otra, información sobre la finalidad del tratamiento de los datos personales; cómo obtenían el consentimiento e información sobre la transferencia de datos a terceros. No obstante, en dicha política de privacidad no existía ningún tipo de información sobre la identificación del responsable del tratamiento de los datos y sobre la posibilidad de ejercitar los derechos reconocidos en el RGPD, solamente se indicaba que “se podía enviar un electrónico a la dirección sunsy.ocial@gmail.com”. Consultada la página una vez más, el 15/10/20, se comprueba que el sitio web denunciado https://sunsy.shop/ , había sido ya cerrado. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del art. 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.
13. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
14. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
15. b)Dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
16. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento. A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: APERCIBIR a D. A.A.A., (VERSUS TECHNOLOGIES SL), con NIF.: ***NIF.1, titular de la página web, https://sunsy.shop, por la infracción del 13 del RGPD, respecto de la falta de información en la política de privacidad en su página web, durante el tiempo que estuvo activa. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es