1/6 Procedimiento Nº: PS/00409/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00409/2019, instruido por la Agencia Española de Protección de Datos, a la entidad GARANTIZA AUTOMOCIÓN, S.L. con CIF: B87149001, titular de las webs www.garantiza.net y www.garantizaautomocion.com , (en adelante, “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 19/09/18, Dª A.A.A. (en adelante, “la reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “En el sitio web de la reclamada se observa incumplimiento del deber de información en el tratamiento, datos de contacto del Delegado de Protección de Datos base jurídica o legitimación para el tratamiento, plazo o los criterios de conservación de la información existencia de decisiones automatizadas o elaboración de perfiles, previsión de transferencias a Terceros Países, derecho a presentar una reclamación ante las Autoridades de Control y Política de Privacidad en idioma extranjero, entre otros”. Anexa a la reclamación pantallazo de la Política de Privacidad de la página web, www.garantiza.net , donde se puede apreciar que la información suministrada en la misma no está escrita en idioma castellano: Política Privacidad: “Suspendisse commodo tempor sagittis! ln justo est, sollicitudin eu scelerisque pretium, placerat eget elit. Praesent faucibus rutrum odio at rhoncus. Pellentesque vitae tortor id neque fermentum pretium. Maecenas ac Iacus ut neque rhoncus laoreet sed id tellus. Donec justo tellus, tincidunt vitae pellentesque nec. pharetra a orci. Praesent nunc nunc. egestas eget elementum sed; rutrum eget metus! Vestibulum congue congue dut ut porta… Aenean laoreet viverra turpis, a commodo purus eleifend a. Nam lacus dui; egestas ut aliquam nec, eleifend sit amet est. Nam justo elit, dictum ¡d tempus a, uitrícies tempus lacus. Nunc purus nibh; eleífend eget facilisis ac, sagittis non tortor. Vivamus eu enim a orcí accumsan tincidunt ut ut elit””. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fechas 16/10/18, y 31/10/18 se dirige requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada, con fecha 16/10/18, a través del servicio de Notific@, resultó rechazado, con fecha 27/10/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Según certificado de la Sociedad Estatal de Correos, la notificación enviada a la sociedad reclamada, con fecha 31/10/18, a través del servicio SICER, a la dirección: ***DIRECCION.1, resultó entregada el 06/11/18, siendo la persona receptora Dª B.B.B.. ***NIF.
- CUARTO: Con fecha 31/10/18 se ha analizado el sitio web www.garantizaautomocion.com forzando al navegador a descargar la última versión de la página alojada en el servidor remoto, mediante la pulsación de la combinación de teclas Control + F5, constatando que en el “contacto”, solo figura la dirección de correo y la dirección postal de la compañía, no produciéndose tratamiento de datos personales. Con fecha 31/10/19, se obtiene impresión de las paginas correspondientes a “Aviso Legal”, “Política de Privacidad”, “Política de cookies” y “Contacto” del sitio web reclamado http://www.garantiza.net , se comprueba que en el link a la Política de Privacidad se encuentra, entre otras, la siguiente información: “Garantiza Automoción, S.L, le informa sobre su Política de Privacidad respecto del tratamiento y protección de los datos de carácter personal de los usuarios y clientes que puedan ser recabados por la navegación o contratación de servicios a través del sitio Web https://www.garantiza.net. En este sentido, Garantiza Automoción, S.L. garantiza el cumplimiento de la normativa vigente en materia de protección de datos personales, reflejada LOPD y RGPD. El uso de sitio Web implica la aceptación de esta Política de Privacidad. Identidad del responsable (…) y Principios aplicados en el tratamiento de datos (…) Obtención de datos personales: “Para navegar por https://www.garantiza.net no es necesario que facilites ningún dato personal. Los casos en los que sí proporcionas tus datos son los siguientes:” Derechos: “Solicitar el acceso a los datos almacenados. Solicitar una rectificación o la cancelación. Solicitar la limitación de su tratamiento. Oponerte al tratamiento. El ejercicio de estos derechos. Para ejercitar tus derechos de acceso, rectificación, cancelación y oposición tienes que enviar un correo a info@garantiza.net junto con la prueba válida en derecho como una fotocopia del D.N.I. o equivalente. No puedes ejercitar el derecho a la portabilidad de los datos” Tienes derecho a la tutela judicial efectiva y a presentar una reclamación ante la autoridad de control, en este caso, la Agencia Española de Protección de Datos, Finalidad del tratamiento de datos personales: “Cuando te conectas al sitio Web para mandar un correo al Titular, suscribirte o realizar una contratación, estás facilitando información de carácter personal de la que el responsable es Garantiza Automoción, S.L. Esta información puede incluir datos de carácter personal como pueden ser tu dirección IP, nombre y apellidos, dirección física, dirección de correo electrónico, número de teléfono, y otra información. Al facilitar esta información, das tu consentimiento para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 tu información sea recopilada, utilizada, gestionada y almacenada por 1&1 IONOS https://www.ionos.es/terms-gtc/terms-privacy/”, Los datos personales y la finalidad del tratamiento por parte del Titular es diferente según el sistema de captura de información: Existen otras finalidades por las que el Titular trata tus datos personales: “Para garantizar el cumplimiento de las condiciones recogidas en la ley aplicable. Esto puede incluir el desarrollo de herramientas y algoritmos que ayuden a este sitio Web a garantizar la confidencialidad de los datos personales que recoge. Para apoyar y mejorar los servicios que ofrece este sitio Web. Para gestionar las redes sociales. Garantiza Automoción, S.L. tiene presencia en redes sociales. Si te haces seguidor en las redes sociales del Titular el tratamiento de los datos personales se regirá por este apartado, así como por aquellas condiciones de uso, políticas de privacidad y normativas de acceso que pertenezcan a la red social que proceda en cada caso y que has aceptado previamente. Puedes consultar las políticas de privacidad de las principales redes sociales en estos enlaces: Facebook; Twitter; Linkedin; YouTube; Instagram”. El Titular tratará tus datos personales con la finalidad “de administrar correctamente su presencia en la red social, informarte de sus actividades, productos o servicios, así como para cualquier otra finalidad que las normativas de las redes sociales permitan. En ningún caso el Titular utilizará los perfiles de seguidores en redes sociales para enviar publicidad. Seguridad de los datos personales. El sitio Web está alojado en 1&1 IONOS https://www.ionos.es/terms-gtc/termsprivacy/. Puedes consultar su política de privacidad. Los datos personales no serán cedidos a terceras organizaciones. “con la salvedad de que dicha cesión de datos esté amparada en una obligación legal o cuando la prestación de un servicio implique la necesidad de una relación contractual con un encargado de tratamiento. En este último caso, solo se llevará a cabo la cesión de datos al tercero cuando Garantiza Automoción, S.L. disponga del consentimiento expreso del Usuario. Sin embargo, en algunos casos se pueden realizar colaboraciones con otros profesionales, en esos casos, se requerirá consentimiento al Usuario informando sobre la identidad del colaborador y la finalidad de la colaboración”. Contenido de otros sitios web. Las páginas de este sitio Web pueden incluir contenido incrustado (por ejemplo, vídeos, imágenes,). El contenido incrustado de otras webs se comporta exactamente de la misma manera que si hubieras visitado la otra web. Estos sitios Web pueden recopilar datos sobre ti, utilizar cookies, incrustar un código de seguimiento adicional de terceros, y supervisar tu interacción. Política de Cookies Para que este sitio Web funcione correctamente necesita utilizar cookies, que es una información que se almacena en tu navegador web. Legitimación para el tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La base legal para el tratamiento de tus datos es: el consentimiento. Para contactar con el Titular, suscribirte a un boletín o realizar comentarios en este sitio Web tienes que aceptar la presente Política de Privacidad. Categorías de datos personales. Las categorías de datos personales que trata el Titular son: Datos identificativos. Conservación de datos personales. Los datos personales que proporciones al Titular se conservarán hasta que solicites su supresión. Destinatarios de datos personales. Google Analytics Navegación Web. Al navegar por https://www.garantiza.net se pueden recoger datos no identificativos, que pueden incluir, la dirección IP, geolocalización, un registro de cómo se utilizan los servicios y sitios, hábitos de navegación y otros datos que no pueden ser utilizados para identificarte. El sitio Web utiliza los siguientes servicios de análisis de terceros: Google Analytics. El Titular utiliza la información obtenida para obtener datos estadísticos, analizar tendencias, administrar el sitio, estudiar patrones de navegación y para recopilar información demográfica. Aceptación y consentimiento. Como Usuario del sitio Web declaras haber sido informado de las condiciones sobre protección de datos de carácter personal, aceptas y consientes el tratamiento de los mismos por parte de Garantiza Automoción S.L. en la forma y para las finalidades indicadas en esta Política de Privacidad. Revocabilidad. Para ejercitar tus derechos de acceso, rectificación, cancelación y oposición tienes que enviar un correo electrónico a info@garantiza.net junto con la prueba válida en derecho como una fotocopia del D.N.I. o equivalente. El ejercicio de tus derechos no incluye ningún dato que Garantiza Automoción, S.L. esté obligado a conservar con fines administrativos, legales o de seguridad. QUINTO: Con fecha 04/12/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.h) de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas necesarias contempladas en el artículo 13 del RGPD, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 SEXTO: Con fecha 15/12/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- Consultada la página web www.garantiza.net , con fecha 31/10/19, se observa que la misma contiene Aviso Legal donde se indica que “No puedes ejercitar el derecho a la portabilidad de los datos”. Tampoco indica la existencia o no de Delegado de Protección de Datos (DPD) o si realiza o no transferencias de datos internacionales. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, en la página web www.garantiza.net , se indica que “No puedes ejercitar el derecho a la portabilidad de los datos”. Tampoco indica la existencia o no de Delegado de Protección de Datos (DPD) o si realiza o no transferencias de datos internacionales. III Todo lo expuesto podría suponer una infracción por vulneración del art 13) RGPD, considerada en el art 72.1.h), LOPDGDD como “muy grave” a efectos de prescripción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.a) del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 RESUELVE APERCIBIR: a la entidad GARANTIZA AUTOMOCIÓN, S.L. con CIF: B87149001, titular de las webs www.garantiza.net y www.garantizaautomocion.com , por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad GARANTIZA AUTOMOCIÓN, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR: la presente resolución a la entidad GARANTIZA AUTOMOCIÓN, De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es