← España

PS-00438-2019

1/11  Procedimiento Nº: PS/00438/2019 938-300320 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En el curso de las actuaciones seguidas por la Agencia Española de Protección de Datos (AEPD) en el procedimiento sancionador PS/0006/2019 se tuvo conocimiento de que la página web banderacatalana.cat había modificado la identidad del responsable de la página y del tratamiento de los datos personales, de modo que éste pasaba a ser D. A.A.A., con NIF ***NIF.1. Extremo del que se dejó constancia en la Diligencia de fecha 31/10/2019 levantada en el marco del referido expediente sancionador PS/0006/2019. En atención a esto, la Directora de la AEPD, mediante Nota Interior firmada el 19/11/2019, instó a la Subdirección General de Inspección de Datos a que iniciara Actuaciones Previas de Investigación a fin de determinar si el nuevo responsable de la página web banderacatana.cat, D. A.A.A. (en lo sucesivo el reclamado) cumplía la normativa de protección de datos. Cabe recordar que en el procedimiento sancionador PS/0006/2019, se sancionó a la entidad GRUP BC, S.L., que tenía la condición de responsable de la página web en la fecha en la que se acordó la apertura de ese procedimiento sancionador, por incumplimiento del artículo 13.1 del RGPD en relación con los artículos 6.1.

  1. a)y 8 del RGPD y con el artículo 7 de la LOPDGDD. SEGUNDO: La Inspección de Datos de la Agencia, en el marco del expediente E/10868/2019, accede en fecha 19/11/2019 a la página web banderacatalana.cat. comprobando que, bajo la rúbrica “text legal”, concretamente en el apartado destinado al “Responsable”, informa de que el responsable de la web alojada en banderacatalana.cat/botiga/ y del tratamiento de los datos personales es el señor A.A.A. con número de identificación ***NIF.1 y domicilio fiscal en ***DIRECCION.1. Mediante Diligencia de constancia de fecha 19/11/2019 firmada por la inspectora actuante, se incorporan al expediente E/10868/2019 diversas capturas de pantalla obtenidas del texto legal de la precitada página web. Las capturas de pantalla ofrecen la siguiente información relevante a los efectos que nos ocupan: El apartado que lleva por rúbrica “Suscripción a nuestra Newsletter” dice: - “Finalidad”, “El envío de nuestro boletín comercial, de comunicaciones informativas y publicitarias sobre nuestros productos o servicios que sean de su interés incluso por medios electrónicos (Correo electrónico, SMS, etc). - “Legitimación”, “El consentimiento del usuario al suscribirse a nuestros envíos por los mismos hechocomerciales o Newsletter” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 - “Conservación”, “Hasta que el interesado revoque el consentimiento y solicite la baja del servicio” - “Obligación de facilitar los datos personales y consecuencia de no hacerlo”. “El suministro de datos personales requiere una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar” “Los datos personales solicitados son necesarios para gestionar sus solicitudes y/o prestar los servicios que pueda contratar, de manera que, si no nos los facilita, no podremos atenderle correctamente ni prestarle el servicio que ha solicitado”. (El subrayado es de la AEPD) TERCERO: Con fecha 10 de diciembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, en relación con los artículos 6.1.
  2. a)y 8 del RGPD y artículo 7 de la LOPDGDD, tipificada en el artículo 83.5.
  3. b)del RGPD. CUARTO: La notificación al reclamado del acuerdo de inicio se efectuó a través de las siguientes actuaciones: En fecha 12/12/2019 se envía por correo postal, a través de la Sociedad Estatal Correos y Telégrafos, S.A. (en adelante Correos), a la dirección que figura en la página web www.banderacatalana.cat vinculada al responsable: ***DIRECCION.1. La notificación así practicada resultó infructuosa. Obra en el expediente el documento emitido por Correos el 20/12/2019, denominado “Certificación de Imposibilidad de Entrega” en el que se certifica que “de acuerdo con la información existente en el Sistema de Información, su envío NT 28019822ADKH09112601, admitido el 12-12-2019, Para: A.A.A.. Dirección: ***DIRECCION.1 Ha venido Devuelto a Origen por Dirección incorrecta el 20-12-2019 a las 19:40. Por el empleado 442438. Teniendo la siguiente información asociada: Gestión de entrega por la Unidad 0869294. 1er intento de entrega el 19-12-2019 a las 12:52 por el empleado 264502 ha resultado 03 ausente”. (El subrayado es de la AEPD) El artículo 44 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) indica que cuando el destinatario de la notificación sea desconocido, se ignore el lugar de la notificación o bien, intentada ésta no se hubiera podido practicar, la notificación se hará por medio de un anuncio publicado en el B.O.E. El tablón edictal del BOE de fecha 07/01/2020 publicó el anuncio de notificación de la AEPD, de 02/01/2020, en el procedimiento PS/00438/2019. El anuncio insertado en el BOE decía: “...en el plazo máximo de 10 días hábiles contados desde el día siguiente al de la publicación del presente anuncio, el interesado a efectos de esta notificación o su representante, podrá solicitar, acreditando su identidad, una copia del documento correspondiente al acto administrativo señalado, para conocimiento de su contenido íntegro, solicitándolo a través de la Sede Electrónica de la Agencia (https:// sedeagpd.gob.es/sede-electronica-web/), o compareciendo de lunes a viernes de 9:00 a 14:30 en el Servicio de Atención al Ciudadano de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 de Datos, calle Jorge Juan, 6, 28001 Madrid. Si transcurrido dicho plazo no se hubiera comparecido, la notificación se entenderá practicada a todos los efectos legales desde el día siguiente al del vencimiento del plazo máximo señalado para comparecer.” No consta en esta Agencia que el reclamado, por sí o por medio de representante, haya solicitado una copia del acuerdo de inicio del expediente sancionador. Tampoco consta que el reclamado haya presentado alegaciones al citado acuerdo. QUINTO: El acuerdo de inicio del procedimiento sancionador, en su parte dispositiva, apartado segundo, acuerda incorporar al expediente administrativo, a efectos de prueba, “la Nota Interior de la Directora de la AEPD en la que ordena a la Inspección de Datos que realice las actuaciones precisas para determinar si el reclamado incurrió en una vulneración de la normativa de protección de datos y los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigación. Asimismo, se incorpora a procedimiento sancionador la Diligencia de fecha 31/10/2019 del procedimiento sancionador PS/0006/2019”. SEXTO: El artículo 64.2.
  4. f)LPACAP dispone que, en caso de no formular alegaciones al acuerdo de inicio, éste podrá ser considerado propuesta de resolución si contiene un pronunciamiento preciso acerca de la responsabilidad imputada. En atención a que el reclamado no ha formulado alegaciones al acuerdo de inicio y a que el citado acuerdo contenía un pronunciamiento muy claro respecto a la responsabilidad atribuida al reclamado, se pasa al dictado de la resolución. SÉPTIMO: Como consecuencia de la suspensión de plazos administrativos provocada por la crisis sanitaria del Covid 19, el plazo de duración máxima de este procedimiento sancionador PS /438/2019 finaliza el 27/11/2020. El Real Decreto 463/2020, “por el que se declara el estado de alarma para la gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el 14/03/2020, estableció en su Disposición Adicional tercera, “Suspensión de plazos administrativos”: “1. Se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público. El cómputo de los plazos se reanudará en el momento en que pierda vigencia el presente real decreto o, en su caso, las prórrogas del mismo. 2. La suspensión de términos y la interrupción de plazos se aplicará a todo el sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020, publicado en el BOE el 23/05/2020, establece en el artículo 9: “Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14 de marzo. Con efectos desde el 1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas”. Por tanto, si bien el acuerdo de inicio del procedimiento sancionador se firmó el 19/11/2019 y que, conforme al artículo 64.2, último inciso, de la LOPDGDD, el plazo de duración máxima del procedimiento es de 9 nueve meses computaos desde esa fecha, la suspensión de plazos acordada por el Real Decreto 463/2020 afectó al procedimiento sancionador que examinamos y se reanudó el cómputo de los plazos con fecha 01/06/2020, a tenor del Real Decreto 463/2020. Aplicadas las normas citadas el último día del plazo de duración máxima del procedimiento es el 27/11/2020. En el presente procedimiento se consideran hechos probados los siguientes, HECHOS 1.- En el marco del E/10868/2019 se levanta diligencia de fecha 19/11/2019 que incorpora la captura de pantalla obtenida en esa fecha desde www.banderacatalana.cat/botiga/content/2-text-legal . 2.-La captura de pantalla obtenida el 19/11/2019 www.banderacatalana.cat/botiga/content/2-text-legal ofrece esta información: desde En el epígrafe “Responsable,” consta que “el nuevo responsable de la web alojada en banderactalana.cat/botiga/ y del tratamiento de datos personales es el señor A.A.A. con número de identificación fiscal ***NIF.1 y domicilio fiscal en ***DIRECCION.1.” El epígrafe siguiente, “Finalidades, legitimación y conservación de los tratamientos de los datos enviados a través de:”, nos ofrece la información estructurada en tres sub-epígrafes denominados “Formularios de contacto”; “Envío de correos electrónicos” y “Suscripción a nuestra newsletter”. (Es traducción. El texto original del entrecomillado está redactado en catalán) 3.- La captura de pantalla obtenida por la Inspección de Datos el 19/11/2019 desde www.banderacatalana.cat/botiga/content/2-text-legal , en el epígrafe denominado “Suscripción a nuestra newsletter”, dice lo siguiente: “Finalidad: Envío de nuestro boletín comercial, comunicaciones informativas y publicitarias sobe nuestros productos o servicios que sean de su interés, incluso por medios electrónicos (correo electrónico, SMS, etc). Legitimación: El consentimiento del usuario al suscribirse a nuestros envíos comerciales o newsletters. Conservación: Hasta que el interesado revoque el consentimiento y solicite la baja del servicio. Obligación de facilitar sus datos personales y consecuencia de no hacerlo. “El suministro de datos personales requiere una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar”. (Es traducción. El texto original del entrecomillado está redactado en catalán. El subrayado es de la AEPD) 4.- En el expediente sancionador PS/0006/2019 -en el que se sancionó por los mismos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 hechos a Grup BC, S.L., con NIF B65880916, en su condición de responsable de la web alojada en www.banderacatalana.cat y del tratamiento de los datos personalesse dejó constancia de estos extremos: 4.1. En el sitio http://banderacatalana.cat/botiga/content/2-text-legal, la información que ofrecía sobre la licitud del tratamiento de los datos de los menores de 13 años que se dieran de alta en su boletín de novedades es idéntica a la que se ha descrito en los Hechos Probados precedentes. 4.2. En fecha 31/10/2019 la página www. banderacatalana.cat informaba de que “el nuevo responsable del web alojado en banderacatalana.cat/botiga/ y del tratamiento de los datos personales” es el señor A.A.A. con número de identificación fiscal ***NIF.1 y domicilio fiscal en ***DIRECCION.1. (Es traducción. El texto original del entrecomillado está redactado en catalán. El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la “protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de datos” (RGPD) reconoce a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 13 del RGPD, bajo la rúbrica “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que éstos se obtengan, le facilitará toda la información indicada a continuación:
  5. a)La identidad y los datos de contacto del responsable y, en su caso, de su representante;
  6. b)Los datos de contacto del delegado de protección de datos, en su caso;
  7. c)Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;” (El subrayado es de la AEPD) El responsable del tratamiento está obligado a informar al interesado cuyos datos personales se recaban de cuál es la “base jurídica del tratamiento” que va a realizar; lo que implica informarle de la legitimación que tiene la entidad que recoge los datos para el tratamiento específico que pretende llevar a cabo. En tal sentido el artículo 5.1.
  8. a)del RLOPD menciona entre los principios que rigen el tratamiento de datos personales el de “licitud”. El artículo 6 RGPD bajo la rúbrica “Licitud del tratamiento dispone: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  9. a)el interesado dio su consentimiento para el tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 para uno o varios fines específicos; (...)” Este precepto se completa con el artículo 8 del mismo texto legal que versa sobre las “Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información”: “1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal consentimiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y sólo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que ésta no sea inferior a 13 años. 2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible. 3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño”. (El subrayado es de la AEPD) La LOPDGDD hizo uso de la habilitación que el artículo 8.1., inciso último, del RGPD otorga a los Estados miembros de la Unión para que determinen la edad en la que es lícito que un menor de 16 años otorgue su consentimiento al tratamiento de sus datos en relación con la oferta directa de servicios de la sociedad de la información. Dentro de los límites del Reglamento 2016/679 la LOPDGDD fija la edad para consentir el tratamiento de datos en los 14 años cumplidos. El artículo 7 de la Ley Orgánica 3/2018, bajo la rúbrica “Consentimiento de los menores de edad”, establece: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en los que la ley exija la asistencia de los titulares de la patria potestad para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, sólo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” (El subrayado es de la AEPD) La incidencia del artículo 8 del RGPD en el asunto examinado deriva del hecho de que los boletines comerciales enviados a través de medios electrónicos constituyen un servicio de la sociedad de la información. Nos remitimos en ese sentido a la definición que la ley 34/2002, de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSI) ofrece en su Anexo: “A los efectos de esta Ley, se entenderá por: a. Servicios de la sociedad de la información o servicios: todo servicio prestado normalmente a título oneroso, a distancia o por vía electrónica y a petición individual del destinatario. (…) Son servicios de la sociedad de la información, entre otros y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 siempre que representen una actividad económica, los siguientes: 1. La contratación de bienes y servicios por vía electrónica (...) 4. El envío de comunicaciones comerciales. (…)” (El subrayado es de la AEPD) III Tal y como se consta en la relación de Hechos Probados, la página www.banderacatalana.cat., en su “texto legal” o política de privacidad informa de la identidad del responsable del tratamiento -A.A.A., con NIF ***NIF.1 - y de sus datos de contacto, facilitando su “domicilio fiscal”, ubicado en ***LOCALIDAD.1, dando así cumplimiento a la obligación que impone el artículo 13.1.
  10. a)del RGPD. El apartado c), del artículo 13.1 RGPD exige que se informe a la persona de quien se recogen sus datos personales, en el momento en que éstos se obtengan, de los fines del tratamiento y de la legitimidad para el tratamiento de datos que se va a realizar. La página web de la que es responsable el reclamado ofrece esta información a través de tres sub-epígrafes, que coinciden con las tres formas mediante las que prevé recoger datos de terceros: los “formularios de contacto”; “el envío de correos electrónicos” y “la suscripción a nuestra newsletter”. La política de privacidad de la www.banderacatalana.cat informa de que la base jurídica del tratamiento de los datos personales de terceros que se recogen cuando estos se dan de alta en el boletín comercial, tratamiento que se concretará en el envío de la referida newsletter, es “el consentimiento” que presta el titular de los datos cuando decide suscribirse al boletín de novedades. Por ello, el párrafo que el texto legal de la página web dedica a la “Suscripción a nuestra newsletter” dice que la “Legitimación:” para el tratamiento es “El consentimiento del usuario al suscribirse a nuestros envíos comerciales o newsletter”. Y dicho esto, la política de privacidad añade lo siguiente: “El suministro de datos personales requiere una edad mínima de 13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar” (El subrayado es de la AEPD) En definitiva, el reclamado informa en su página web, www.banderacatalana.cat, que para darse de alta en la newsletter de la empresa se requiere una edad mínima de 13 años y, al tiempo, informa también de que la base jurídica del tratamiento de los datos de quien cumplimenta el formulario de la newsletter es el consentimiento otorgado al cumplimentar dicho boletín comercial. Resulta evidente, a la luz de los artículos 6.1.
  11. a)y 8 del RGPD y 7 de la LOPDGDD, que la información que ofrece el reclamado respecto al consentimiento otorgado por los menores de edad para el tratamiento de sus datos con la finalidad de prestarles un servicio de la sociedad de la información -como lo es el envío del boletín comercial por vía electrónica o SMS- vulnera las disposiciones citadas. Admitir que un menor de 13 años pueda darse de alta en su boletín de novedades y amparar el tratamiento en la base jurídica del artículo 6.1.
  12. a)RGPD es atribuir al menor de 13 años la capacidad para disponer de sus datos con la finalidad aludida, capacidad de la que carece y que la ley otorga al menor de edad que ha cumplido 14 años. Así las cosas, habida cuenta de que el sitio web del que es responsable el reclamado facilita una información sobre la licitud del tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 personales de los menores de 13 años que incumple las normas que regulan esta materia -artículo 6.1.a, relacionado con artículo 8 RGPD y artículo 7 LOPDGDD- el texto legal o política de privacidad de la página web vulnera el artículo 13.1.
  13. c)RGPD. La infracción del artículo 13.1.
  14. c)del RGPD se encuentra tipificada en el artículo 83.5.
  15. b)del RGPD, precepto que señala: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo, o tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a)(...)
  16. b)los derechos de los interesados a tenor de los artículos 12 a 22 A efectos de prescripción, la LOPDGDD (artículo 72.1) califica de muy grave, y fija para ella un plazo de prescripción de tres años, la “
  17. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica”. IV El artículo 58.2 RGPD establece que “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos” entre los que menciona, además de la multa administrativa (letra
  18. i)el de “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” (letra
  19. d)Paralelamente, se ha de señalar que la imposición de la medida descrita en el apartado
  20. d)del artículo 58.2. RGPD es compatible con la sanción consistente en multa administrativa, a tenor de lo dispuesto en el art. 83.2 del RGPD conforme al cual “en función de las circunstancias de cada caso individual”, las multas administrativas pueden imponerse “a título adicional”, esto es, conjuntamente, con las medidas contempladas en el artículo 58.2, letras
  21. a)a
  22. h)y j). Parece conveniente recordar, además, que el RGPD introduce un tipo infractor en el que la conducta típica consiste en no haber cumplido las medidas correctivas impuestas en sus resoluciones sancionadoras por la autoridad de control, esto es, por la AEPD. Así, el artículo 83.6 del RGPD establece que “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía” A. En la determinación del importe de la multa administrativa que procede imponer al reclamado se han de observar las previsiones de los artículos 83.1 y 83.2 del Reglamento 2016/679. En el presente caso, en la determinación del importe de la sanción de multa por la infracción tipificada en el artículo 83.5.
  23. b)del RGPD atribuida al reclamado, se aprecian, en calidad de agravantes, los siguientes factores: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 - El descrito en el artículo 83.2.
  24. b)RGPD, “La intencionalidad o negligencia en la infracción”. Queda acreditado en el expediente (Diligencia de 31/10/2019) que, en esa fecha, el reclamado tenía ya la condición de responsable de la página web banderacatalana.cat. El 19/11/2019 -fecha de la Diligencia de constancia levantada por la inspección de datos en el E/10868/2019- se comprueba que la información que la página web proporciona continúa siendo errónea. Hasta esas fechas habían transcurrido más de once meses desde la entrada en vigor de la Ley Orgánica 3/2018 (lo que acontece el 07/12/2018). Tiempo suficiente a juicio de esta Agencia para que el responsable hubiera adaptado su política de privacidad a la normativa vigente. La grave falta de diligencia que revela la conducta del reclamado se pone de manifiesto también en que tuvo conocimiento necesariamente del procedimiento sancionador promovido por esta Agencia contra el anterior responsable de esa misma página web, por hechos idénticos. Procedimiento que finalizó sancionando al entonces responsable -Grup B.C., S.L.- por idéntica infracción del RGPD. Sólo una obvia y muy grave falta de diligencia del responsable -próxima al dolo- puede explicar que, pese a su perfecto conocimiento de que la información que ofrece vulnera la ley, continúe publicándola. - La circunstancia descrita en el artículo 83.2.
  25. k)del RGPD, en relación con el artículo 76.
  26. f)de la LOPDGDD, que alude a “La afectación a los derechos de los menores”. El incumplimiento del deber de informar en los términos del artículo 13.1.
  27. c)RGPD, tal y como consta en los Fundamentos de la resolución, repercute directamente en el tratamiento de datos de los menores de edad -menores de 13 años cumplidos- que no están habilitados por la ley para disponer de sus datos con la finalidad de darse de alta en boletines de noticias a través de medios electrónicos. Circunstancia que revela un plus de antijuridicidad y de culpabilidad del sujeto infractor. B. A tenor del artículo 58.2.
  28. d)RGPD se sanciona con la medida correctiva consistente en ordenar al reclamado que suprima del sitio web la información que publica, referente al consentimiento de los menores de 13 años de edad como base legitimadora del tratamiento de sus datos a través de la suscripción a la newsletter, que vulnera la normativa de protección de datos ,y que facilite una información acerca de la base legitimadora del tratamiento de los datos personales obtenidos mediante el alta en la newsletter por parte de los menores de edad que cumpla las disposiciones vigentes. El plazo máximo en el que reclamado deberá dar cumplimiento a esta orden es de diez días hábiles, que se computarán desde la fecha en la que la presente resolución fuera ejecutiva. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR a A.A.A., con NIF ***NIF.1, por una infracción del artículo 13 RGPD -en relación con los artículos 6.1.
  29. a)y 8 RGPD y en relación, asimismo, con el artículo 7 LOPDGDD-, tipificada en el artículo 83.5.
  30. b)RGPD, con multa administrativa (conforme al artículo 58.2.i, RGPD) de 10.000 € (diez mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 SEGUNDO: SANCIONAR a A.A.A., con NIF ***NIF.1, por una infracción del artículo 13 RGPD -en relación con los artículos 6.1.
  31. a)y 8 RGPD y en relación, asimismo, con el artículo 7 LOPDGDD-, tipificada en el artículo 83.5.
  32. b)RGPD, con la orden (conforme al artículo 58.2.d, RGPD) de suprimir de la política de privacidad de la página www.banderacatalana.cat la información contraria a las disposiciones del RGPD y de la LOPDGDD objeto del presente expediente sancionador y de ofrecer una información correcta relativa a la base legitimadora del tratamiento de los datos de los menores de edad al darse de alta en su boletín de novedades. El plazo otorgado para cumplir esta orden es de diez días hábiles, computados desde la fecha en la que la presente resolución sea ejecutiva. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Advertir al sancionado que la multa administrativa deberá hacerla efectiva una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  33. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.