PS-00415-2023

1/7  Expediente N.º: EXP202302632 (PS/00415/2023) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 22/01/23, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra el titular de la página web https://www.dmerka.com , por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El reclamante manifiesta en su escrito de reclamación que la web en cuestión es un comercio electrónico donde NO se identifica al responsable del tratamiento de los datos que se incluyen en el formulario ni se facilita información sobre el mismo. SEGUNDO: Con fecha 01/03/23, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el art 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de lo siguiente: 1.- Se ha realizado por la Inspección de Datos las siguientes comprobaciones en la página web https://www.dmerka.com: - La página web que ofrece un servicio de compra de productos de distintas cadenas de supermercados (Mercadona, Dia, Carrefour, El Corte Inglés, Lidl, Gladis y Lupa Lupa). El usuario selecciona los productos que desea adquirir y los va introduciendo en el carrito de la compra. Una vez finalizada la selección permite finalizar la compra y redirige a una pantalla en la que se solicitan los datos personales. Tras ser introducidos los datos personales es necesario aceptar los “términos y condiciones” antes de finalizar el pedido. El enlace “términos y condiciones” despliega una ventana titulada “política de privacidad y datos”. No obstante, no existe información sobre la identidad del responsable de los tratamientos de datos o representante de la web, o DPD, así como la falta de información sobre el derecho que ostenta el usuario de la página web a presentar una reclamación ante la AEPD, si considera vulnerado sus derechos sobre sus datos personales. - Para atender los derechos de protección de datos facilitan, en la política de privacidad, una dirección de correo electrónico: protecciondatos@dmerka.com C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 - La página inicial informa del funcionamiento del servicio y de las condiciones de compra. Contiene un apartado denominado “LEY DE PROTECCIÓN DE DATOS” con el siguiente literal: “En dmerka no recopilamos ni almacenamos absolutamente ningún dato de los clientes por lo tanto si realiza otro pedido tienen que volver a ingresarlos de nuevo ya que no realizamos ningún guardado, si tiene alguna duda al respecto no compre en esta web.” - Los datos recabados para poder efectuar la compra son los siguientes: Nombre, apellidos, calle, código postal, población, provincia, teléfono, correo electrónico, fecha y horario de entrega y datos de pago (número de tarjeta bancaria, fecha de caducidad y CVC). 2.- El proveedor de servicios de registro de dominios ha informado a requerimiento de la inspección de datos que el titular del dominio dmeka.com es B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), con domicilio en ***DIRECCION.1. El domicilio coincide con el domicilio fiscal informado por la Agencia Tributaria. 3.- Con fecha 10/05/23 se ha requerido mediante notificación electrónica al reclamado para que aportase la siguiente información y documentación: - Copia del Registro de Actividad de los tratamientos que se realizan con los datos que se recaban en “dmerka.com”. Especificar las finalidades para las que se recaba cada uno de los datos. - Número de interesados a los que se ha recabado los datos y descripción de los datos recabados. Información facilitada a éstos sobre el tratamiento de los datos y los derechos de protección de datos de carácter personal. - Las garantías implementadas para la adecuada protección de los derechos y libertades de las personas. - Copia de los Análisis de riesgo (AR) realizados, y de los informes al respecto elaborados por el DPD y detalle y acreditación documental de las medidas técnicas y organizativas de seguridad implementadas. - Copia impresa de los todos los datos que consten es sus ficheros relativos a A.A.A.. Este requerimiento estuvo disponible en la dirección electrónica resultando “expirada” sin que haya sido retirada por su destinatario. Con fechas 23/05/23, 09/06/23 y 04/08/23 se envió el requerimiento de información mediante notificación postal, siendo devuelta a destino, en el primero de los intentos, con el mensaje de “Desconocido” y en los dos últimos con el mensaje de “Ausente” y “Se deja aviso en el buzón”. CUARTO: Con fecha 23/10/23, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B. con ***NIF.1, titular de la página web https://www.dmerka.com con arreglo a lo dispuesto en los artículos 63 y 64 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase de la instrucción ascendería a un total de 600 euros (seis cientos euros). También, sobre las posibles medidas a requerir de confirmarse la infracción, se le indicaba que podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2

1. d)del RGPD. Aparte de todo ello, se indicó a la parte reclamada que, si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podría ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
2. f)de la LPACAP. El intento de notificación de la incoación de expediente se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica. Este fue enviado a la parte reclamada el día 23/10/23 a través del servicio de notificaciones electrónicas, “NOTIFIC@”, siendo expirada por caducidad, al superarse el plazo establecido para la comparecencia el 03/11/23. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se envió una copia por correo postal a la dirección indicada por la Agencia Tributaria como domicilio fiscal. El escrito de incoación de expediente enviado a la dirección ***DIRECCION.1, fue devuelto a origen por “Sobrante” (No retirado en oficina), el 07/12/23, con la siguiente información asociada: Gestión de entrega por la Unidad: 4719194: 1º Intento de entrega el 27/11/23, con el resultado de “Ausente” y 2º Intento de entrega el 28/11/23 con el resultado de “Ausente” y “Se dejó Aviso en buzón”. Con fecha 12/03/24 se realizó la notificación del acuerdo de inicio mediante anuncio en el Tablón Edictal único del Boletín Oficial del Estado, de acuerdo con el artículo 44 de la LPACAP. En dicho anuncio se informa a la parte reclamada sobre la posibilidad de obtener copia del acuerdo de apertura. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna en esta Agencia. El artículo 64.2.
3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida al reclamado y la sanción que podrían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS Primero: Queda constancia que la página web https://www.dmerka.com, ofrece un servicio de compra de productos de distintas cadenas de supermercados, y donde, para hacer las compras on-line, se recaban datos personales identificativos de los usuarios como la dirección postal, el teléfono, el correo electrónico y datos identificativos de la tarjeta de pago. Segundo: Se ha comprobado, que no existe información en la web en cuestión sobre el responsable del tratamiento de los datos personales, o el derecho que ostenta el usuario a presentar una reclamación ante AEPD. Tercero: A requerimiento de esta Agencia, el proveedor de servicios de registro de dominios ha informado que el titular del dominio “dmeka.com” es D. B.B.B..- ***NIF.1. FUNDAMENTOS DE DERECHO I. Competencia: De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Infracción Administrativa La falta de información con arreglo a la normativa vigente, sobre el tratamiento de los datos personales cuando se obtienen de los usuarios de la web supone la vulneración del artículo 13 del RGPD, pues establece que: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
6. b)los datos de contacto del delegado de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 datos, en su caso;
7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
14. d)el derecho a presentar una reclamación ante una autoridad de control;
15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
16. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. III. Sanción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
17. b)del RGPD. En este sentido, el artículo 74.
18. a)de la LOPDGDD, sobre las infracciones consideradas leves a efectos de prescripción, indica que: Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
19. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El balance de las circunstancias contempladas en los artículos 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar la sanción en 600 € (seiscientos euros). IV. Medidas El artículo 58.2 del RGPD establece los poderes correctivos de los que dispone una autoridad de control y el apartado
20. d)del precepto citado establece que puede consistir en, “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. Por tanto, procede imponer la medida correctiva descrita en el artículo 58.2.
21. d)del RGPD y ordenar a la parte reclamada que, en el plazo de un mes, establezca las medidas técnicas en la página web de su titularidad, incluyendo en la misma una “Política de Privacidad” que informe a los usuarios que proporcionan sus datos personales sobre la gestión de los mismos, según especifica el artículo 13 del RGPD. De acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. B.B.B. con NIF.: ***NIF.1, titular de la página web, https://www.dmerka.com, por la infracción del artículo 13 del RGPD , tipificada en el Artículo 83.5 del RGPD, una sanción de 600 euros (seis cientos euros). SEGUNDO: ORDENAR a D. B.B.B. , que implante, en el plazo de un mes, las medidas correctoras necesarias para adecuar la página web de su titularidad a la normativa de protección de datos personales, en base a lo estipulado en el artículo 13 del RGPD, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas. TERCERO: NOTIFICAR la presente resolución a D. B.B.B.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
23. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es