← España

PS-00475-2021

1/30  Expediente Nº: PS/00475/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MYHERITAGE, LTD (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente Nº: PS/00475/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: La ORGANIZACION DE CONSUMIDORES Y USUARIOS (en adelante, la parte reclamante) con fecha 1 de julio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MY HERITAGE, LTD (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes. La Organización de Consumidores y Usuarios (OCU) señala una serie de posibles incumplimientos de la normativa de protección de datos por parte del responsable del portal web https://www.myheritage.es/, en el que se ofrecen a residentes españoles servicios genealógicos, incluyendo análisis y comparativas de ADN: - Transferencias internacionales de datos personales fuera del EEE a países sin gaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/30 rantías adecuadas, según lo estipulado en el art. 46 RGPD. - Tratamientos de datos personales sin base de legitimación clara, y falta de información adecuada al afectado. -Tratamiento de datos personales de carácter genético (ADN) que no parece cumplir ninguna de las premisas recogidas en el art. 9.2 RGPD. - Revelación a los demás usuarios de los datos personales de terceros que se incluyen en los árboles genealógicos. - Revelación de datos personales de usuarios entre los que se establecen "Coincidencias de ADN" o "Smart Matches" (similitudes entre su ADN). - Cesiones a terceros con propósitos extraños (p.ej. proteger sus derechos o la propiedad de otros usuarios) - Compartición dudosa de información con "socios de Genealogía" - Deficiencias en información y consentimiento a "cookies" - Legitimación de "investigaciones" basadas en consentimiento. Dudas sobre si lo recogen realmente, en qué consiste realmente dicha investigación, y finalidades de la misma, así como la información proporcionada a los titulares de los datos. - Dudas sobre el tratamiento de datos con fines comerciales (oposición al envío de comunicaciones publicitarias, y qué base de legitimación se utiliza para los envíos, aclarando si son propios o de terceros - en la política no queda claro). - Deficiencias en materia de información sobre los tratamientos realizados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 - En la política de privacidad no se especifica claramente que uno debe enviar su material genético y no el de otro. Esta cuestión podría remitir a la de las medidas de seguridad para acreditar que una persona te está enviando su material genético y no el de otra persona. - Otras deficiencias en materia de información a usuarios (art. 13 RGPD) - No se cierran puertas a posibles cesiones o ventas bajo licencia de información de salud o ADN de usuarios que no sean rusos, noruegos y suecos. - Tratamiento de datos de menores entre 13 años y la edad mínima que cada país establece para aceptar el consentimiento de una personal sin necesitar el de sus padres o tutores. - Otras deficiencias en la redacción de la política (incoherencias, duplicidades, omisiones, ambigüedades, etc.) - Cuestiones relacionadas con el ejercicio de derechos: - Dudas sobre la conservación de datos una vez eliminados, y del alcance de la eliminación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito, si bien no se ha tenido constancia de su recepción por la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 TERCERO: Con fecha 30 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Con fecha 24/05/2021 DIGITAL VALLADOLID, S.L. remite a esta Agencia la siguiente información y manifestaciones: Que el titular del dominio myheritage.es es A.A.A.. - Con fecha 24/08/2021 MYHERITAGE LTD. remite a esta Agencia la siguiente información y manifestaciones de su traducción no oficial del inglés: (…) - Con fecha 22/07/2020 se comprueba que en la política de privacidad de myheritage.es consta: 1. En la sección “¿QUÉ INFORMACIÓN PERSONAL SE RECOGE DE USTED O ACERCA DE USTED?”: “2) Información sobre su familia y terceras personas: También puede introducir otra información personal acerca de usted y de otras personas durante la creación de su árbol genealógico o el estudio de su familia en el Sitio Web, por ejemplo, nombres, relaciones, fechas y lugares de nacimiento y defunción, información de contacto como una dirección de correo electrónico y fotos. Si decide invitar a un miembro de su familia u otra persona para que visualice o edite su árbol genealógico, le pediremos la dirección de correo electrónico y el nombre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30 dicha persona. Antes de cursar la invitación, deberá asegurarse de que cuenta con el consentimiento de esta persona para transmitir sus datos a MyHeritage. En el momento de crear un árbol genealógico, usted decide qué familiares añade al árbol, si añade familiares difuntos, vivos o ambos, y qué información facilita acerca de ellos. Para añadir familiares vivos al árbol genealógico, deberá obtener su consentimiento previo. Antes de añadir familiares menores vivos al árbol genealógico, deberá obtener el consentimiento de su progenitor o tutor.” 2. En la sección “¿PARA QUÉ UTILIZAMOS SU INFORMACIÓN PERSONAL?” consta: “[…]

  1. iv)Para usos internos de la empresa: Con el fin de mejorar el Servicio y desarrollar nuevos productos y servicios, es posible que utilicemos su información personal para realizar análisis de datos internos, para estudiar el uso que se hace del Sitio Web, para diagnosticar problemas y garantizar la seguridad del Servicio, para identificar tendencias de uso y para determinar la efectividad de las campañas promocionales. Por ejemplo, podemos examinar cuánto tiempo pasan los visitantes en cada página del Sitio Web y cómo navegan por el mismo. Únicamente utilizaremos esta información para mejorar el Sitio Web. Utilizamos su dirección IP para proporcionarle el Sitio Web y nuestro Servicio, así como para diagnosticar problemas en nuestros servidores. Su dirección IP también se utiliza para reunir información demográfica amplia, como la distribución geográfica de nuestros miembros. Cuando visite el Servicio por primera vez, utilizaremos su dirección IP para proponerle el Servicio en el idioma que consideremos más apropiado para la región geográfica en la que tenga su origen. […]” 3. En la sección “¿DIVULGARÁ MYHERITAGE SU INFORMACIÓN PERSONAL A TERCEROS?” consta: “La información personal que usted nos facilite nunca será vendida o cedida bajo licencia. Jamás venderemos o cederemos bajo licencia información de ADN o de salud a terceros sin su consentimiento informado expreso. Jamás venderemos o cederemos bajo licencia información de ADN o de salud que pertenezca a usuarios de Rusia, Noruega o Suecia bajo ninguna circunstancia (aunque otorguen un consentimiento informado expreso). […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 4. En la sección “CONSERVACIÓN DE LOS DATOS” consta: “[…] En algunos casos, cuando usted o nosotros eliminemos su contenido, puede que permanezcan visibles copias de dicha información en otros lugares en la medida en que dicha copia se haya compartido con otras personas o se haya distribuido de otra forma con arreglo a sus ajustes de privacidad o haya sido copiada o almacenada por otros usuarios. Por ejemplo, puede que otros usuarios hayan copiado parte de su árbol genealógico en su propio árbol genealógico. […]” 5. En la sección “¿CÓMO PUEDE ELIMINAR INFORMACIÓN SOBRE USTED O SU FAMILIA O COMUNICÁRNOSLO?” consta: “[…] En caso de controversias o problemas con otro tipo de información personal presente en el Sitio Web acerca de usted, póngase en contacto con nosotros en la dirección privacy@myheritage.com. Si es usted un miembro registrado del Sitio Web y nos envía una solicitud relativa a información que usted introdujo en el Sitio Web, le pediremos que se comunique con nosotros desde la misma dirección de correo electrónico que usó para registrarse en el Sitio Web. De no ser así, puede que necesitemos verificar su identidad antes de considerar su solicitud. Si necesita ayuda adicional, puede escribimos un correo electrónico a la dirección privacy@myheritage.com para solicitarnos que le ayudemos a eliminar cualquier información que desee, y nuestro personal atenderá rápidamente su solicitud a menos que, tras examinarla, sea considerada ilegítima. […]” - Con fecha 24/05/2021 se comprueba que en la política de cookies de myheritage.es constan los apartados: a. ¿Qué son las cookies y por qué MYHERITAGE las usa? b. ¿Cuáles son los diferentes tipos de cookies? c. ¿Cómo gestionar sus preferencias de cookies? d. ¿Cómo administrar las cookies a través de la configuración de su navegador? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 e. ¿Cómo inhabilitar la publicidad basada en intereses? f. ¿Se modificará esta política de cookies? - Con fecha 22/07/2020 se comprueba que en los términos y condiciones de myheritage.es consta: 1. En la sección “Servicios de ADN”: “[…] Además, declara que cualquier muestra de ADN que proporcione, así como cualquier información que transfiera o suba que relacione a un individuo con sus Resultados de ADN, se refiere o a su ADN o, únicamente con respecto a la utilización de los Servicios de genealogía de ADN, al ADN de una persona de la que usted es el tutor o de la que ha obtenido autorización legal para proporcionarnos su ADN. […]” - Con fecha 30/08/2021 se comprueba que en la política de privacidad de myheritage.es consta: 1. En la sección “¿DIVULGARÁ MYHERITAGE SU INFORMACIÓN PERSONAL A TERCEROS?” consta: “NUNCA VENDEREMOS NI CONCEDEREMOS LICENCIAS CON RESPECTO A LA INFORMACIÓN PERSONAL PROPORCIONADA POR USTED, INCLUIDA LA INFORMACIÓN GENÉTICA Y LA INFORMACIÓN DE SALUD, A TERCEROS, INCLUIDAS LAS COMPAÑÍAS DE SEGUROS, LAS AGENCIAS GUBERNAMENTALES, OTRAS EMPRESAS O EMPLEADORES.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 I Competencia - Sobre la “Política de Privacidad”, “Tratamiento” y “Transferencias”: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.” El artículo 3.2 del RGPD establece la competencia territorial, señalando lo siguiente: 2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
  2. a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
  3. b)el control de su comportamiento, en la medida en que este tenga lugar en la Unión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 - Sobre la Política de Cookies: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. El artículo 4 de la LSSI establece la competencia territorial para los prestadores establecidos en un Estado no perteneciente a la Unión Europea o al Espacio Económico Europeo, señalando lo siguiente: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” II Tras la recepción de la denuncia genérica y amplísima presentada por la parte reclamante, se iniciaron actuaciones previas de investigación consistente en solicitar información a la parte reclamada ubicada en Israel. A no tener datos de ningún reclamante, la investigación realizada es genérica y no se ha podido incidir en cuestiones más concretas. Para la mejor comprensión del resultado de estas actuaciones, se incluyen en distintos apartados los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 Respecto a las deficiencias en la información facilitada a los usuarios cuyos datos son objeto de tratamiento. El artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:
  4. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  6. b)los datos de contacto del delegado de protección de datos, en su caso;
  7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  14. d)el derecho a presentar una reclamación ante una autoridad de control;
  15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  16. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” La información recogida en la política de privacidad, que ha sido actualizada y ampliada, no responde a todas las exigencias recogidas en el artículo 13 del RGPD. Se constata que no se informa de la posibilidad de ejercer el derecho de portabilidad y el derecho de limitación del tratamiento. Asimismo, no se indica el derecho de los interesados de presentar una reclamación ante la autoridad de control. El formulario empleado vulnera el artículo 13 del RGPD conducta que es subsumible en el artículo 83.5 del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán de acuerdo con el apartado 2, con multas administrativas de 20.000.000 de Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (...)
  17. b)Los derechos de los interesados a tenor de los artículos 12 a 22;” A los meros efectos de prescripción, el artículo 74.1.
  18. a)de la LOPDGDD considera como leve “
  19. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.”. El plazo de prescripción de las infracciones leves previsto en la Ley Orgánica 3/2018 es de un año. El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  20. a)(..) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30
  21. b)dirigir a todo responsable o encargado de tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; c)...
  22. d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...) i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. En el presente caso, atendidas las especiales circunstancias que concurren y conforme el Considerando 148 del RGPD, según el cual cuando exista una infracción leve podrá imponerse en lugar de la sanción de multa la sanción de apercibimiento, en esta fase del procedimiento, y sin perjuicio del resultado de la instrucción, se estima que por la infracción del artículo 13 del RGPD procede impone la sanción de apercibimiento; teniendo en cuenta que la política de privacidad es muy completa, si bien se han omitido dos informaciones: la posibilidad de ejercicio del derecho de portabilidad y limitación del tratamiento, y el derecho a presentar una reclamación ante la autoridad de control. Asimismo, en caso de que la resolución vaya en el mismo sentido que este acuerdo, procedería imponer la medida correctiva descrita en el artículo 58.2.
  23. d)RGPD y ordenar a la reclamada que elabore un formulario de recogida de datos que ofrezca a los afectados toda la información que está obligada a facilitar al amparo del artículo 13 del RGPD. III Respecto al tratamiento de datos de los usuarios El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condicioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 nes:
  24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. (…)” El artículo 4 del RGPD, “Definiciones”, apartado 2, ofrece un concepto legal de “tratamiento”: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción” . La entidad investigada legitima el tratamiento de sus datos en el consentimiento del interesado, en que el tratamiento es necesario para ejecutar un contrato celebrado con el usuario, y que el tratamiento es necesario para cumplir con una obligación legal pertinente. Si bien la base jurídica del apartado
  31. c)del artículo 6.1 del RGPD se refiere a la exisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 tencia de “una obligación legal”, y el Gabinete Jurídico de la AEPD indica que el sentido de la expresión “obligación legal” contenida en el artículo 6.1.
  32. c)del RGPD equivale, en la regulación española de protección de datos, a obligación establecida en una ley en sentido formal, a una norma con rango de ley. La entidad investigada puede legitimar el tratamiento de los datos personales en los dos primeros apartados del artículo 6.1 del RGPD. En relación a la posible divulgación de información personal manifiestan que como parte de las revisiones periódicas que realizan a su política de privacidad para asegurar que la información que proporcionan refleja con precisión la forma en que tratan datos personales, han revisado esta política y han concretado los casos de comunicación de datos a terceros “si nos los exige la ley o durante un proceso judicial, o para prevenir el fraude y la ciberdelincuencia.” En el presente caso, con arreglo a los datos que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, no se han encontrado evidencias que acrediten un incumplimiento de lo estipulado en el artículo 6 del RGPD. Tratamiento de datos de menores de 13 años El artículo 7 de la LOPDGDD establece lo siguiente: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. “2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” La entidad investigada señala que no se tratan datos de menores de 14 años. Para personas mayores de 14 años de edad y hasta los 18 años sí los tratan y en todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 casos han recogido un consentimiento parental. En el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que el tratamiento de datos de la página web reclamada, no se contradice con lo estipulado en el artículo 7 de la LOPDGDD en relación con el art. 8 del RGPD. IV Respecto al tratamiento de categorías especiales de datos de los usuarios Estas categorías de datos encuentran su regulación en el artículo 9 del RGPD, que determina en sus dos primeros apartados lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  33. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  34. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  35. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 jurídicamente, para dar su consentimiento;
  36. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  37. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  38. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  39. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  40. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  41. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
  42. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.” Por otra parte, en lo referente al tratamiento de categorías especiales de datos de ciuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 dadanos españoles, es aplicable el artículo 9.1 de la LOPDGDD, que indica lo siguiente: “1. A los efectos del artículo 9.2.
  43. a)del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.” La entidad reclamada presta un servicio DNA KIT a los usuarios que quieran utilizarlo. En el Registro de actividades de tratamiento diferencian la finalidad de realización del árbol genealógico del servicio DNA KIT. Sobre la finalidad, indican la entidad reclamada lo siguiente: “The main purpose is the provision of our DNA services. This means dispatching the DNA kit to the user/recipient following a purchase, to perform genetic analysis and to present the DNA results, which include Ethnicity Estimates and optionally also DNA Matches”, es decir, que la finalidad principal es el examen genético y la obtención de resultados; opcionalmente con los resultados pueden obtener coincidencias entre los usuarios. Se trata de un servicio específico que tiene la finalidad principal de obtener el mapa genético del sujeto. Pues bien, en la política de privacidad y en la contestación a la solicitud de información efectuada por esta Agencia, la entidad investigada indica que el tratamiento de «datos de categoría especial» o de «datos personales sensibles» únicamente se permite cuando existe una exención pertinente. Los datos de categoría especial incluyen información genética, que tratan como parte de los Servicios de ADN, así como cualquier información acerca de su origen étnico o información del Cuestionario de Salud. En dichos casos, los datos de categoría especial o los datos personales sensibles se levanta la prohibición de su tratamiento en virtud del consentimiento explícito e informado del usuario. La pormenorización de los tratamientos de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 del ADN y de las informaciones que se pueden compartir con terceros, consta detallada en el apartado de Hechos. En el presente caso, con arreglo a los datos que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, no se han encontrado evidencias que acrediten un incumplimiento de lo estipulado en el artículo 9 del RGPD. V Tratamiento de datos de los usuarios con fines comerciales En la denuncia se plantean dudas sobre el tratamiento de datos con fines comerciales y si es posible la oposición al envío de comunicaciones publicitarias. El envío de correos electrónicos publicitarios está regulado en el artículo 21 de la LSSI, que establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30 En relación a las comunicaciones comerciales, la entidad reclamada señala que se envían sobre productos o servicios que son idénticos o similares a los que los usuarios usaron o adquirieron. Los usuarios pueden optar por no recibir más comunicaciones a través del link de “unsubscribe” presente en la parte inferior de las comunicaciones o modificando sus preferencias. VI Deficiencias en la utilización e información de cookies Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies, la web utiliza cookies no necesarias, tanto propias como de terceros. Además, en la página inicial el banner no informa bien; en la política de cookies no se identifican las Los hechos expuestos podrían suponer por parte de la entidad reclamada la comisión de la infracción del artículo 22.2 de la LSSI, según el cual: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad denunciada la determinación de un sistema de obtención del consentimiento informado que se adecue al mandato de la LSSI. - Plazo de tiempo durante el que ha venido cometiendo la infracción (apartado b). Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 20.000 euros (veinte mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web myheritage.es. VII Legitimación de "investigaciones" basadas en consentimiento MYHERITAGE ha informado que los usuarios procedentes de España han sido excluidos del proyecto de investigación que realiza con amplias finalidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 Conservación de los datos La información facilitada por la entidad en su política de privacidad es la siguiente: Conservaremos su información personal únicamente durante el tiempo necesario para cumplir con los fines para los que fue recogida y con la legislación aplicable. Esto significa que almacenaremos su información personal durante el tiempo que sea necesario para prestar nuestros servicios, salvo que tengamos un fundamento jurídico para conservarla por un período de tiempo mayor (por ejemplo, una vez finalice su suscripción, puede que sigamos teniendo un interés legítimo por utilizar sus datos de contacto para ofrecerle nuestro servicio comercialmente). También conservamos la información personal que necesitamos para realizar las tareas pendientes y para ejercer nuestros derechos jurídicos y hacer valer nuestras reivindicaciones, así como determinada información personal que debemos conservar durante un período de tiempo preceptivo (en este último caso, nuestro tratamiento de dicha información es limitado). Si acepta usted el Acuerdo de Consentimiento Informado de ADN, podremos conservar la información proporcionada con arreglo al mismo durante el tiempo que consideremos necesario para los fines de investigación recogidos en él. En algunos casos, cuando usted o nosotros eliminemos su contenido, puede que permanezcan visibles copias de dicha información en otros lugares en la medida en que dicha copia se haya compartido con otras personas o se haya distribuido de otra forma con arreglo a sus ajustes de privacidad o haya sido copiada o almacenada por otros usuarios. Por ejemplo, puede que otros usuarios hayan copiado parte de su árbol genealógico en su propio árbol genealógico. Puede que la información retirada y eliminada se conserve en copias de seguridad durante un tiempo limitado para usos internos de nuestra empresa, pero no estará disponible para usted ni para otros usuarios. El primer párrafo de la información cumple lo establecido en el artículo 17 del RGPD respecto a la supresión de los datos. Si el interesado se opone a recibir publicidad no podrán conservar ningún dato con esa finalidad. En el párrafo segundo se advierte de la posibilidad de que, si el propio usuario ha dejado su árbol genealógico de forma pública, puede ser copiado o guardado por terceros. Por tanto, informan de los criterios utilizados para la conservación de los datos; haciendo referencia a la posibilidad de que si el usuario ha hecho público su árbol genealógico, puede ser copiado y conservado por terceros ajenos a la entidad reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/30 Transferencias Internacionales de datos El artículo 45 del RGPD establece lo siguiente: “1. Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica. 2. Al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuenta, en particular, los siguientes elementos:
  44. a)el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, tanto general como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguridad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos personales, así como la aplicación de dicha legislación, las normas de protección de datos, las normas profesionales y las medidas de seguridad, incluidas las normas sobre transferencias ulteriores de datos personales a otro tercer país u organización internacional observadas en ese país u organización internacional, la jurisprudencia, así como el reconocimiento a los interesados cuyos datos personales estén siendo transferidos de derechos efectivos y exigibles y de recursos administrativos y acciones judiciales que sean efectivos;
  45. b)la existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país o a las cuales esté sujeta una organización internacional, con la responsabilidad de garantizar y hacer cumplir las normas en materia de protección de datos, incluidos poderes de ejecución adecuados, de asistir y asesorar a los interesados en el ejercicio de sus derechos, y de cooperar con las autoridades de control de la Unión y de los Estados miembros, y
  46. c)los compromisos internacionales asumidos por el tercer país u organización internacional de que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente vinculantes, así como de su participación en sistemas multilaterales o regionales, en particular en relación con la protección de los datos personales. 3. La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/30 zan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del presente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. El acto de ejecución especificará su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o autoridades de control a que se refiere el apartado 2, letra b), del presente artículo. El acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2. 4. La Comisión supervisará de manera continuada los acontecimientos en países terceros y organizaciones internacionales que puedan afectar a la efectiva aplicación de las decisiones adoptadas con arreglo al apartado 3 del presente artículo y de las decisiones adoptadas sobre la base del artículo 25, apartado 6, de la Directiva 95/46/CE. 5. Cuando la información disponible, en particular tras la revisión a que se refiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un sector específico de ese tercer país, o una organización internacional ya no garantiza un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comisión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presente artículo. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. Por razones imperiosas de urgencia debidamente justificadas, la Comisión adoptará actos de ejecución inmediatamente aplicables de conformidad con el procedimiento a que se refiere el artículo 93, apartado 3. 6. La Comisión entablará consultas con el tercer país u organización internacional con vistas a poner remedio a la situación que dé lugar a la decisión adoptada de conformidad con el apartado 5. 7. Toda decisión de conformidad con el apartado 5 del presente artículo se entenderá sin perjuicio de las transferencias de datos personales al tercer país, a un territorio o uno o varios sectores específicos de ese tercer país, o a la organización internacional de que se trate en virtud de los artículos 46 a 49. 8. La Comisión publicará en el Diario Oficial de la Unión Europea y en su págiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/30 na web una lista de terceros países, territorios y sectores específicos en un tercer país, y organizaciones internacionales respecto de los cuales haya decidido que se garantiza, o ya no, un nivel de protección adecuado. 9. Las decisiones adoptadas por la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas por una decisión de la Comisión adoptada de conformidad con los apartados 3 o 5 del presente artículo.” El artículo 46 establece la posibilidad de transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas. El artículo siguiente regula las normas corporativas vinculantes y el artículo 49 establece las excepciones en las que se pueden transferir datos personales si se dan unas circunstancias específicas. Dado que en la denuncia se plantean dudas sobre la legalidad de las transferencias, sin concretarse riesgos exactos, al solicitar información sobre estas transferencias, MYHERITAGE indica que tras la sentencia Schrems II están revisando las cláusulas contractuales tipo siguiendo las recomendaciones del EDPB. De acuerdo con los datos de los que se dispone en este momento, no se tienen evidencias que acrediten el incumplimiento en lo referido a las transferencias internacionales. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MYHERITAGE, LTD, con NIF 513410662, por la presunta infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
  47. b)del mismo Reglamento, y dirigir un apercibimiento por esta infracción. SEGUNDO: INICIAR PROCEDIMIENTO SANCIONADOR a MYHERITAGE, LTD, con NIF 513410662, por la presunta infracción del artículo 22.2) de la LSSI, sancionable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/30 conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies” de la página web de su titularidad, sancionando con una multa de 20.000 euros. TERCERO: A los efectos del artículo 64.2.
  48. b)LPACAP, se podría ORDENAR a la reclamada de acuerdo con lo dispuesto en el artículo 58.2
  49. d)del RGPD que, en el plazo de diez días hábiles a contar desde la fecha en la que la resolución en que así lo acuerde sea ejecutiva, proceda, por una parte, a adecuar el formulario de recogida de datos de quienes solicitan sus servicios a las previsiones del artículo 13 del RGPD. CUARTO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). QUINTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. SEXTO: QUE a los efectos previstos en el art. 64.2
  50. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de APERCIBIMIENTO y 20.000 € (veinte mil euros). SÉPTIMO: NOTIFICAR el presente acuerdo a MYHERITAGE, LTD, con NIF 513410662, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/30 podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  51. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 € (diez y seis mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 € (diez y seis mil euros), y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 € (doce mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/30 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 2 de noviembre de 2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 16000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/30 de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  52. d)e
  53. i)y 38.4 d),
  54. g)y
  55. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00475/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a MYHERITAGE, LTD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  56. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/30 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.