PS-00426-2020

1/5  Procedimiento Nº: PS/00426/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0426/2020, instruido por la Agencia Española de Protección de Datos, a Dª A.A.A., con NIF.: ***NIF.1, titular de la página web www.acrashop.com, (en adelante, “la persona reclamada”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/06/20, tiene entrada en esta Agencia, escrito de reclamación presentado por Dª B.B.B., (en adelante, “la persona reclamante”), en el que indica, entre otras, lo siguiente: “La página web www.acrashop.com carece de aviso legal tal y como lo exige la legislación vigente. Además, en la citada página web no se informa de la denominación social, de la dirección ni del teléfono de contacto de la empresa titular de la misma”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Así, con fecha 24/07/20, se accede a la página web denunciada, comprobando que, en su “Política de Privacidad”, www.acbrandspain.com/pages/politica-de-privacidad existe, entre otra, información sobre, la finalidad del tratamiento de los datos personales; cómo obtienen el consentimiento y la transferencia de datos a terceros. Sobre la identificación del responsable del tratamiento de datos de la web se indica: “Nuestra tienda se encuentra alojada en Shopify Inc. Ellos nos proporcionan la plataforma de comercio electrónico en línea que nos permite venderte nuestros productos y servicios. Tus datos se almacenan a través del almacenamiento de datos de Shopify, bases de datos y la aplicación general de Shopify. Tus datos se almacenan en un servidor seguro detrás de un firewall”. Sobre cómo desistir del consentimiento dado para el tratamiento de los datos, la página informa de que: “Si después de haber aceptado cambias de opinión, puedes anular tu consentimiento para que te contactemos, por la recolección, uso o divulgación de tu información, en cualquier momento, contactándonos a info@acrashop.com “. TERCERO: Con fecha 07/10/20, se vuelve a acceder al sitio web denunciado, comprobándose que el mismo se encuentra “En Construcción”, ofreciendo el siguiente mensaje: “ACRASHOP -Apertura Próximamente”. No obstante, dado que, según la política de privacidad, obtenida del sitio web el 24/07/20, se menciona que utiliza plataforma de comercio electrónico SHOPIFY, de la compañía SHOPIFY INTERNATIONAL INC, se realiza requerimiento de información sobre la titularidad del sitio web reclamado, recibiéndose el 08/10/20, contestación de SHOPIFY identificando al titular del sitio web como la persona reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: Con fecha 04/01/21, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a la persona reclamada, en virtud de los poderes establecidos, por la infracción del artículo 13) del RGPD, respecto de la falta de información en la política de privacidad en su página web. QUINTO: Notificado el acuerdo de inicio del expediente sancionador, la persona reclamada, mediante escrito de fecha 21/01/21, formuló, en síntesis, las siguientes alegaciones: “(…) Los datos del Responsable del tratamiento no fueron incluidos en un primer momento en la Política de Privacidad, sin embargo, en los términos y condiciones se incluyó información adicional, si bien, por error, no toda la requerida en la normativa, indicando que la web pertenece a Acrashop, nombre comercial de la Entidad en la web analizada. ACRASHOP tiene recogido en la Política de Privacidad que aceptan los usuarios al realizar un pedido, la manera en la que pueden ejercitar sus derechos en materia de protección de datos, indicando en un lenguaje claro y sencillo, para que todos los usuarios lo entiendan, que pueden hacerlo a través del correo electrónico info@acrashop.com El literal del texto era el siguiente: “PREGUNTAS E INFORMACIÓN DE CONTACTO Si quieres: acceder, corregir, enmendar o borrar cualquier información personal que poseamos sobre ti, registrar una queja, o simplemente quieres más información contacta a nuestro Oficial de Cumplimiento de Privacidad info@acrashop.com ” Asimismo, en la parte de la Política de Privacidad en la que se recoge la información relativa al consentimiento, se indica que “¿Cómo puedo anular mi consentimiento? Si después de haber aceptado cambias de opinión, puedes anular tu consentimiento para que te contactemos, por la recolección, uso o divulgación de tu información, en cualquier momento, contactándonos a info@acrashop.com ”, dirigiendo al usuario al mismo correo electrónico para revocar, siempre y en cualquier momento, su consentimiento, en caso que así lo desee. Se adjunta como DOCUMENTO NÚMERO 2, copia de la Política de Privacidad incluida en la web mientras ésta estaba operativa. Tras recibir la notificación del inicio del presente Procedimiento Sancionador, ACRASHOP ha verificado si se había recibido algún ejercicio de derecho por parte de la reclamante, sin que conste ninguna solicitud al respecto. Cuarto.- Medidas adoptadas Cuando se recibió el requerimiento de información, ACRASHOP contactó con diferentes consultoras en materia de protección de datos, para la realización de una auditoría de la web www.acrashop.com, con el objeto de que cumpliera totalmente con la normativa aplicable. No obstante, debido a la situación de emergencia sanitaria generada por el Covid-19, ACRASHOP no podía mantener su actividad, como consecuencia de los retrasos en los envíos. Por consiguiente, tras informar al Inspector de esta Agencia, ACRASHOP decidió cerrar definitivamente la web. Se adjunta como DOCUMENTO NÚMERO 3, copia de la justificación de cierre de la web de ACRASHOP solicitada a Shopify. Por tanto y en virtud de lo expuesto, SUPLICO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, se sirva de admitir el presente escrito junto con la documentación que lo acompaña, tenido por atendido en tiempo y forma el Procedimiento Sancionador bajo la referencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 PS/00426/2020, y dado que ACRASHOP, ha tenido en todo momento intención de cumplir con la normativa y cuando iba a realizar las modificaciones indicadas, se vio obligada a proceder al cierre de la web www.acrashop.com, de modo que ya no se tratan datos personales de ningún interesado. Asimismo, SUPLICO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, tenga por Responsable y titular del sitio web a la Entidad LA CASITA DE LA COSTURERA, S.L. y no a A.A.A.”. SEXTO: Con fecha 22/02/21, esta Agencia ha accedido a la página web indicada, comprobando que la misma ya no existe. En su lugar se proporciona el siguiente mensaje: “Este dominio ha caducado. Si era el propietario de este dominio, comuníquese con su proveedor de servicios de registro de dominio para más ayuda”. SÉPTIMO: Con fecha 23/03/21, se notifica a la persona reclamada la propuesta de resolución en la cual se propone que, por la Directora de la Agencia Española de Protección de Datos se sancionase con “apercibimiento”, a la persona reclamada, como titular de la página web www.acrashop.com, por la infracción del artículo 13) del RGPD, respecto de la falta de información en la política de privacidad en su página web, durante el tiempo que estuvo activa. OCTAVO: Notificado la propuesta de resolución a la persona reclamada, no se ha presentado ningún escrito de alegaciones a la misma, en el periodo concedido al efecto. HECHOS PROBADOS 1º.- Según la reclamación presentada en esta Agencia, la página web, www.acrashop.com carece de aviso legal tal y como lo exige la legislación vigente, tampoco se informa de la denominación social, ni de la dirección ni del teléfono de contacto del titular de la misma. 2.- Por parte de esta Agencia, se comprobó que, en la página de la “Política de Privacidad”, www.acbrandspain.com/pages/politica-de-privacidad, de la web, existía, entre otra, información sobre, la finalidad del tratamiento de los datos personales; cómo obtenían el consentimiento y la transferencia de datos a terceros. No obstante, se comprobó que no se proporcionaba información sobre la identidad del responsable del tratamiento de los datos personales obtenidos a través de la web. 3.- Notificado el acuerdo de inicio, la persona reclamada, alegó entre otras que, El titular de la web www.acrashop.com, es la Sociedad “LA CASITA DE LA COSTURERA, S.L.” y no la persona reclamada tal y como indica la AEPD; Los datos del Responsable del tratamiento no fueron incluidos en un primer momento en la Política de Privacidad, por error y que ACRASHOP había decidido cerrar definitivamente la web. 4.- Tras la presentación de las alegaciones indicadas, esta Agencia ha accedido a la página web indicada, comprobando que la misma ya no existe. En su lugar se proporciona el siguiente mensaje: “Este dominio ha caducado. Si era el propietario de este dominio, comuníquese con su proveedor de servicios de registro de dominio para más ayuda” . FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Es competente para resolver este procedimiento, respecto de la política de privacidad y el tratamiento de los datos personales de los usuarios de las webs, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados, No obstante, se debe indicar lo siguiente: Por parte de esta Agencia, con fecha 24/07/20, se comprobó que, en la política de privacidad de su página web, www.acbrandspain.com/pages/politica-de-privacidad existía información sobre la finalidad del tratamiento de los datos personales, cómo obtenían el consentimiento e informaban sobre la transferencia de datos a terceros, pero no existía ningún tipo de información sobre el responsable del tratamiento de los datos. Respecto a las alegaciones presentadas, en el sentido de que la titularidad de la página web www.acrashop.com , era la sociedad “LA CASITA DE LA COSTURERA, S.L.” y no la persona reclamada tal y como aseguraba esta AEPD, indicar que, con objeto de requerir información a SHOPIFY, plataforma en la que se había instalado “Acrashop”, para identificar al responsable de la web, ésta informó que, según sus bases de datos, el titular de la página web era: A.A.A.. ***EMAIL.1; ***DIRECCION.1. No obstante, consultada la página web, el 02/12/20 y una vez más, después de haber recibido las alegaciones a la incoación del expediente, se ha podido comprobar, en las dos ocasiones que la misma ya no existe. En su lugar sale el siguiente mensaje: “Este dominio ha caducado. Si era el propietario de este dominio, comuníquese con su proveedor de servicios de registro de dominio para obtener más ayuda” Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos RESUELVE: APERCIBIR: a Dª A.A.A., con NIF.: ***NIF.1, titular de la página web www.acrashop.com, por la infracción del artículo 13) del RGPD, respecto de la falta de información en la política de privacidad en su página web, durante el tiempo que estuvo activa. NOTIFICAR: la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es