← España

PS-00478-2020

1/16  Expediente Nº: PS/00478/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Con fecha 08/09/2020 A.A.A. (en lo sucesivo, la parte reclamante) interpone reclamación ante la Agencia Española de Protección de Datos (AEPD) contra EDITORIAL RIBADEO, S.L., con NIF B01864982 (en lo sucesivo, la parte reclamada o la Editorial). Basa su reclamación, por una parte, en que ***URL.1 publica “conversaciones que yo envié por email (que yo no tengo problemas en que sea hagan públicas) atribuyéndoselas a una tercera persona.” Por otra, el reclamante manifiesta que la página web del reclamado, pese a incluir un formulario de recogida de datos personales, no facilita la información que exige la normativa de protección de datos de carácter personal. Aporta con su reclamación la captura de pantalla de una página de la red social Facebook que reproduce un comentario suscrito por una persona, identificada por el nombre y dos apellidos, y una fotografía de su perfil. Inmediatamente debajo aparece un texto escrito y la fotografía de una persona. SEGUNDO: La AEPD accede con fecha 02/10/2020 a la página web https://edribadeo.com/contacto y obtiene capturas de pantalla de los formularios de recogida de datos que se publican en ella: 1. El primer formulario va precedido de esta leyenda: “Tu opinión es importante para nosotros. Conocer la opinión de nuestros clientes es muy importante para nosotros, extendemos la invitación a llenar nuestro formulario para solicitar información sobre los productos que ofrecemos. A la brevedad posible, uno de nuestros representantes atenderá la solicitud.” Inmediatamente debajo existen espacios destinados a recoger el nombre, la dirección electrónica y la opinión. A continuación, aparece el botón “Enviar” y debajo esta leyenda: “Este sitio está protegido por reCaPTCHA y aplican las Política de privacidad y los Términos de servicio de Google.” 2.El siguiente formulario va precedido del siguiente texto: “HOY SUPER OFERTAS DE NUESTROS LIBROS. ¡APROVECHA AHORA! +***TELÉFONO.1 ***EMAIL.1 Crear cuenta. Al crear una cuenta, puedes recibir boletines informativos o promociones.” Después existen espacios destinados a cumplimentar el nombre, apellido, correo electrónico y teléfono “(opcional)”. A continuación, dice: “¿Ya tienes una cuenta? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Iniciar sesión. Este sitio está protegido por reCaPTCHA y aplican las Política de privacidad y los Términos de servicio de Google.” 3.El tercer formulario está precedido de la indicación “Checkpoint/Somos la voz de los nuevos escritores”. Después se incluye el anagrama del reclamado y un formulario de pedidos. En él hay espacios destinados a la recogida de datos: Bajo la rúbrica “Información del cliente”, los datos de la dirección de correo y teléfono (opcional). Bajo la rúbrica “Dirección Principal”, el nombre, apellido, dirección postal, código postal y ciudad. Ni en los formularios mencionados ni en ningún otro apartado de la página web la parte reclamada, titular de la página, informa de su política de privacidad. Sí hay una referencia a la política de privacidad relacionada con “reCaPTCHA” en los términos que se han reproducido en los puntos 1 y 2 precedentes. TERCERO: De acuerdo con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos y garantía de los derechos digitales (LOPDGDD), a fin de valorar la admisibilidad de esta reclamación, se dio traslado de ella a la parte reclamada para que en el plazo de un mes facilitara una explicación sobre los hechos denunciados y detallara las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares. El traslado a la Editorial reclamada se efectuó electrónicamente, en la forma prevista por la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), siendo la fecha de puesta a disposición el 13/10/2020 y la de su rechazo automático el 24/10/2020. Así consta en el certificado expedido por el Servicio de Soporte de Notificación Electrónica y Dirección Electrónica Habilidad de la FNMT (en los sucesivo, FNMT) que obra en el expediente. La notificación se reiteró por correo postal y resultó devuelta a esta AEPD el 29/10/2020 por dirección incorrecta, extremo que acredita la Certificación de imposibilidad de entrega emitida por la Sociedad Estatal Correos y Telégrafos, S.A.E., (en lo sucesivo, Correos) que obra en el expediente. CUARTO: El 16/12/2020 la Directora de la AEPD dicta resolución admitiendo a trámite la reclamación. QUINTO: Con fecha 30/07/2021 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

  1. b)del RGPD. SEXTO: El acuerdo de inicio del procedimiento se notificó al reclamado electrónicamente, poniéndose a disposición en la sede electrónica de esta Agencia el 02/08/2021. El 13/08/2021 se produjo el rechazo conforme a lo prevenido en el artículo 43.2 de la LPACAP, con los efectos previstos en el artículo 41.5 LPACAP, “dando por efectuado el trámite y siguiéndose el procedimiento”. No constan alegaciones de la parte reclamada al acuerdo de apertura del expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 SÉPTIMO: Fase de prueba. Con fecha 05/10/2021, la instructora del procedimiento acuerda la apertura de una fase de prueba y la práctica de las siguientes diligencias probatorias: 1.Dar por reproducidos a efectos de prueba los documentos siguientes: La reclamación presentada por el reclamante y su documentación anexa; los documentos generados y obtenidos por la Subdirección de Inspección con ocasión de la solicitud de información que dirigió al reclamado, previa a la admisión a trámite de la reclamación, y los documentos generados al notificar al reclamado el acuerdo de apertura del procedimiento sancionador. 2.Se requiere al reclamado para que, en el plazo de diez días hábiles computados desde la recepción de este escrito, remita a la AEPD la información y documentación que se detalla: 1. Que informe desde qué fecha utiliza los formularios de recogida de datos personales que se publican en su página web. 2. Que informe si la entidad dirige algún escrito, a modo de acuse de recibo o bienvenida, a las personas de quienes recoge datos personales con ocasión de cumplimentar el formulario “Crear cuenta”. Si su respuesta es afirmativa, deberá facilitar una copia del documento que la entidad remite a los interesados. 3. Que aporte copia del modelo de escrito que utiliza cuando facilita información a las personas que han cumplimentado el formulario de “solicitud de información de sus productos” que aparece en su página web. El escrito comunicando a la parte reclamada la apertura de la fase de prueba y la práctica de las pruebas que se solicitan se notifica electrónicamente el 05/10/2021 y es rechazado el 16/10/2021 en la forma y con los efectos de los artículos 43.2 y 41.5 de la LPACAP respectivamente, como lo acredita el certificado de la FNMT que obra en el expediente. Se reitera la notificación del escrito mediante correo postal que se entrega el 25/10/2021, según consta en el “Documento de prueba de entrega” emitido por Correos que obra en el expediente. No se recibe respuesta de la parte reclamada a las pruebas practicadas. OCTAVO: Mediante diligencia firmada por la instructora el 27/10/2021 se incorporan al expediente administrativo los siguientes documentos procedentes de la Subdirección General de Promoción y Autorizaciones de este organismo: 1. El correo electrónico que la Subdirección General de Promoción y Autorizaciones dirige el 25/10/2021 a la secretaría de la Subdirección General de Inspección de Datos en el que indica que, siguiendo instrucciones, reenvía el email recibido en la cuenta del DPD de esta Agencia. Los documentos que se recibieron en la cuenta del DPD de la AEPD fueron: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 (
  2. i)Un correo electrónico enviado el 25/10/2021 por B.B.B. desde la dirección ***EMAIL.2 al DPD de la Agencia con el “Asunto” “Editorial Ribadeo, SLD (repuestas de notificación)”. El texto del correo electrónico dice así: “Hace unas horas he recibido el siguiente documento que anexo sobre alguna queja de la Editorial Ribadeo SLD. Le informo que la Editorial Ribadeo está en proceso de desintegración y que desde hace 6 meses está sin operaciones, por tanto no tratamos datos de autores, los autores que hicieron contratos con nuestra editorial fueron informados de la retirada de los libros, y las consecuencias, además de la protección de sus datos, que consta. La Editorial Ribadeo SLD no se beneficia actualmente de ningún libro publicado, para esto pueden revisar directamente con la sucursal bancaria de Caixa Bank. Disculpen las molestias que pueda ocasionar es que no sé a quién dirigirme y actualmente estoy fuera del país. Pero quisiera aclarar cualquier duda que existiera, si pudieran ayudar en caso de que esté no sea el departamento al cual me debo dirigir.” “Atentamente Administrativo de Editorial Ribadeo SLD B01864982”. (El subrayado es de la AEPD) (
  3. ii)Fotografías en las que se ve el escrito que la AEPD dirigió a la parte reclamada notificándole la apertura de fase de prueba y la solicitud de información y documentación, así como el sobre utilizado para el envío postal. 2.El correo electrónico que la Subdirección General de Promoción y Autorizaciones de la AEPD envió al reclamado en la misma fecha, 25/10/2021, informándole de que “esta dirección de correo electrónico no es un registro oficial para la presentación de escritos dirigidos a la Agencia Española de Protección de Datos. Si desea presentar cualquier documentación, deberá hacerlo a través del Registro General de la Agencia.” NOVENO: Propuesta de resolución. La propuesta se firmó por la instructora del expediente en fecha 23/03/2022 proponiendo: <<Que, por la Directora de la Agencia Española de Protección de Datos, se dirija un apercibimiento, regulado en el artículo 58.2.
  4. b)del RGPD, a EDITORIAL RIBADEO S.L., con NIF B01864982, por una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
  5. b)del mismo texto legal. Que, por la Directora de la Agencia Española de Protección de Datos, a tenor del artículo 58.2.
  6. d)RGPD, se ordene en la resolución sancionadora que pudiera dictarse que, en el plazo que especifique la resolución, adopte las medidas necesarias para que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, en particular a cumplir la obligación de información que le imponen los artículos 12 y 13 del RGPD.>> Se incluyó en la propuesta de resolución, como anexo, una relación de los documentos que obraban en el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 DÉCIMO: La propuesta se notificó a la parte reclamada electrónicamente, de conformidad con lo prevenido en la LPACAP, poniéndose a disposición en la sede electrónica el 23/03/2022 y siendo rechazada el 03/04/2022. No constan alegaciones de la parte reclamada a la propuesta de resolución. La notificación de la propuesta se reiteró a través de correo postal que resultó entregado el 13/04/2022, según la documentación que obra en el expediente. De las actuaciones practicadas en el presente procedimiento y de la documentación que obra en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1º): Obran en el expediente, obtenidas por la AEPD el 02/10/2020, diversas capturas de pantalla procedentes de la página web de la que es responsable el reclamado, ***URL.1, que confirman que en esa fecha se incluían en ella formularios de recogida de datos personales. Los formularios que se visualizan en las imágenes obtenidas de la página web son: 1. Formulario precedido de la leyenda “Tu opinión es importante para nosotros. Conocer la opinión de nuestros clientes es muy importante para nosotros, extendemos la invitación a llenar nuestro formulario para solicitar información sobre los productos que ofrecemos. A la brevedad posible, uno de nuestros representantes atenderá la solicitud.” 2. Formulario precedido del texto “HOY SUPER OFERTAS DE NUESTROS LIBROS. ¡APROVECHA AHORA! +***TELÉFONO.1 ***EMAIL.1 Crear cuenta. Al crear una cuenta, puedes recibir boletines informativos o promociones.” 3. Formulario precedido de la indicación “Checkpoint/Somos la voz de los nuevos escritores” que incluye el anagrama del reclamado y un formulario de pedidos. 2º): Las capturas de pantalla obtenidas de la página web del reclamado acreditan que a través de los formularios descritos en el hecho probado precedente se recababan los datos siguientes: 1. En el formulario destinado a “solicitar información sobre los productos que ofrecemos”, el nombre y la dirección electrónica. 2. En el formulario destinado a “crear cuenta” el nombre, apellido, correo electrónico y, solo opcional, el teléfono. 3. En el formulario de pedidos, la dirección postal, código postal, ciudad, nombre, apellido, dirección de correo electrónico y, solo opcional, teléfono. 3º): La documentación relativa a la página web ***URL.1 que obra en el expediente evidencia que en ninguno de los tres formularios ni en ningún otro apartado de esa página web existía una cláusula que facilitara la información que preceptivamente debe ofrecerse a los interesados de quienes se recogen datos personales, de conformidad con el artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 4º): El acuerdo de apertura se notificó al reclamado por medios electrónicos y la notificación fue rechazada por el transcurso de diez días, conforme al artículo 43.2, segundo inciso, de la LPACAP, con los efectos previstos en el artículo 41.5 de la misma ley. El reclamado no formuló alegaciones al acuerdo de apertura del procedimiento. 5º): El escrito de apertura de la fase de prueba y las diligencias de prueba que se solicitaban al reclamado se notificaron electrónicamente y por correo postal que fue recibido por el reclamado el 25/10/2021. El reclamado no respondió a las pruebas solicitadas. Se limitó a enviar un correo electrónico desde la dirección ***EMAIL.2 y este texto: “Hace unas horas he recibido el siguiente documento que anexo sobre alguna queja de la Editorial Ribadeo SLD. Le informo que la Editorial Ribadeo está en proceso de desintegración y que desde hace 6 meses está sin operaciones, por tanto, no tratamos datos de autores, los autores que hicieron contratos con nuestra editorial fueron informados de la retirada de los libros, y las consecuencias, además de la protección de sus datos, que consta. La Editorial Ribadeo SLD no se beneficia actualmente de ningún libro publicado, para esto pueden revisar directamente con la sucursal bancaria de Caixa Bank. Disculpen las molestias que pueda ocasionar es que no sé a quién dirigirme y actualmente estoy fuera del país. Pero quisiera aclarar cualquier duda que existiera, si pudieran ayudar en caso de que esté no sea el departamento al cual me debo dirigir. Atentamente Administrativo de Editorial Ribadeo SLD B01864982” 6º) En fecha 22/09/2021 el Registro Mercantil publicaba la siguiente información relativa al reclamado: - Fecha de inscripción de la sociedad, el 18/09/2020 - Fecha de comienzo de operaciones sociales, 21/08/2020 - Nombre del Administrador único, B.B.B. - Domicilio social, ***DIRECCIÓN.1 - Objeto social, como actividad principal la edición de libros. También la edición de periódicos y revistas y de otros “no comprendidos en los artículos anteriores” - Capital social suscrito y desembolsado, 3.000 euros. 7º) No tenemos constancia de que la sociedad reclamada se encuentre extinguida o esté en proceso de disolución. A fecha 22/03/2022 la última inscripción que figura practicada en el Registro Mercantil es de fecha 18/09/2020 y versa sobre la constitución de la sociedad, la declaración de su carácter unipersonal y el nombramiento como Administrador único de B.B.B.. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 5 del RGPD versa sobre los principios que deben presidir el tratamiento de datos de carácter personal y dispone: “1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>; (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” Una de las manifestaciones del principio de transparencia descrito en el apartado
  8. a)del artículo 5.1. del RGPD es el derecho que el RGPD otorga a interesados, y la correlativa obligación que impone al responsable del tratamiento, de recibir la información a la que hacen referencia sus artículos 13 y 14 en los términos que detalla el artículo 12 de ese texto legal. Los artículos 13 y 14 del RGPD contemplan, respectivamente, dos hipótesis: que los datos se hayan recogido directamente del interesado, como está previsto que suceda en los formularios que el reclamado tiene publicados en su página web, o que los datos no se obtengan del interesado. El artículo 13 del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  9. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  10. b)los datos de contacto del delegado de protección de datos, en su caso;
  11. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  12. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  13. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  14. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indica-das en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  15. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  16. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  17. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  18. d)el derecho a presentar una reclamación ante una autoridad de control;
  19. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obliga-do a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  20. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las con-secuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” (El subrayado es nuestro) Los considerandos 39 y 60 del Reglamento contribuyen a precisar el alcance del derecho de información que se otorga a los interesados. El considerando 39 dice: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. [...].” (El subrayado es nuestro) El Considerando 60 del RGPD añade que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieron.” (El subrayado es nuestro) La vulneración del artículo 13 del RGPD se encuentra tipificada en el artículo 83.5.
  21. b)del RGPD, precepto que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)(...)
  23. b)los derechos de los interesados a tenor de los artículos 12 a 22;” La LOPDGDD, a efectos de prescripción, califica la vulneración del artículo 13 del RGPD como una infracción muy grave (artículo 72.1.
  24. h)para la que fija un plazo de prescripción de tres años. III El acuerdo de apertura del presente procedimiento sancionador atribuyó a la Editorial, responsable de la página web https://edribadeo.com/contacto, una infracción del artículo 13 del RGPD, toda vez que los formularios incluidos en su página no ofrecen la información que está obligada a proporcionar a las personas de quienes recabe datos personales mediante la cumplimentación de los citados formularios. La obligación de informar impuesta por el RGPD abarca todos los extremos que detalla su artículo 13 y el responsable del tratamiento ha de facilitarla al interesado en el mismo momento de la recogida de los datos, esto es, cuando el tercero cumplimenta cualquiera de los formularios. La documentación que obra en el expediente acredita que desde la página web https:// edribadeo.com/contacto, de la que es titular la reclamada, se accede a tres formularios de recogida de datos: Consta acreditado que mediante el formulario que se ha descrito en el apartado 1 del Antecedente segundo -que señala que por medio de él se puede solicitar información sobre los productos que el reclamado ofrece y conocer la opinión de quienes acceden a la página- se recaba el nombre, la dirección electrónica y la opinión del interesado. Que mediante el formulario descrito en el apartado 2 del Antecedente segundo -en el que se indica que su finalidad es que el titular de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 datos cree una cuenta que le permitirá recibir boletines informativos y promociones- se recaba el nombre, apellido, correo electrónico y, solo opcional, el teléfono. Y que a través del formulario descrito en el apartado 3 del Antecedente segundo -que dice que la información que consta en él permite realizar pedidos de productos al reclamado- se recaba la dirección de correo, el teléfono, sólo opcional, el nombre, apellido, la dirección postal, el código postal y la ciudad. A su vez, ha quedado también acreditado en el expediente que la página web de la Editorial no informa de “su” política de privacidad, ni facilita la información que especifica el artículo 13 del RGPD. La única referencia a “una” política de privacidad que podemos hallar en el sitio web de la parte reclamada es la relacionada con “reCaPTCHA” pues debajo de dos de los tres formularios aparece la siguiente leyenda: “Este sitio está protegido por reCaPTCHA y aplican las Política de privacidad y los Términos de servicio de Google.” Google reCAPTCHA es un sistema diseñado para diferenciar entre humanos y ordenadores que se utiliza para que los bots no puedan completar formularios de forma malintencionada en nombre de un ser humano y que la política de privacidad de Google, a la que se alude en la página web del reclamado, versa obviamente, de manera exclusiva, sobre el tratamiento de datos que efectúa Google para activar ese sistema. Estamos, por tanto, ante un tratamiento de datos -el que Google lleva a cabo para prestar al responsable de la página web su servicio del sistema recaptcha- y ante un responsable de ese tratamiento -Google- distinto de la parte reclamada contra quien se dirige este expediente sancionador. El tratamiento de datos que Google lleva a cabo por razón del servicio recaptcha nada tiene que ver con el incumplimiento por la Editorial de la obligación de informar que le impone el artículo 13 del RGPD. La Editorial no ha formulado alegaciones al acuerdo de apertura. Tampoco ha respondido a las pruebas solicitadas ni ha formulado alegaciones a la propuesta de resolución. Llegados a este punto debe indicarse que, conforme a lo dispuesto en el artículo 14.2.
  25. a)de la LPACAP, la parte reclamada es un sujeto obligado a relacionarse con la Administración por medios electrónicos. El artículo 43 de la LPACAP, “Práctica de notificaciones a través de medios electrónicos”, dispone en su apartado 2, inciso segundo, que “Cuando la notificación por medios electrónicos sea de carácter obligatorio [...]se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es nuestro) Por su parte, el artículo 41 de la LPACAP, “Condiciones generales para la práctica de las notificaciones”, dispone en el apartado 5 que “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” Como se ha expuesto en los Antecedentes de Hecho de esta resolución el acuerdo de inicio del procedimiento se notificó a la Editorial por medios electrónicos y la notificación fue rechazada conforme al artículo 43.2, segundo inciso, de la LPACAP con los efectos previstos en el artículo 41.5 de la LPACAP: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 El escrito en el que se comunicaba a la reclamada la apertura de la fase de prueba y se solicitaban diversas pruebas se notificó también por medios electrónicos y fue igualmente rechazado con arreglo a lo dispuesto en el artículo 43.2 de la LPACAP y los efectos previstos en el artículo 41.5 de la Ley 39/2015. La notificación de ese escrito se reiteró excepcionalmente a través de correo postal que fue recibido por la parte reclamada el 25/10/2022. Sin embargo, la Editorial no respondió a las pruebas solicitadas y se limitó a dirigir un escrito a esta Agencia -a la dirección electrónica del DPD de la AEPD- en el que hizo diversas consideraciones ajenas a las pruebas requeridas, entre ellas que la sociedad “está en proceso de desintegración y que desde hace 6 meses está sin operaciones”. La propuesta de resolución se notificó por medios electrónicos, poniéndose a disposición de la reclamada el 23/03/2022 siendo rechazada conforme a lo previsto en el artículo 43.2, segundo inciso, de la LPACAP, con los efectos previstos en el artículo 41.5 de la LPACAP, en fecha 03/04/2022. La notificación de ese escrito se reiteró excepcionalmente a través de correo postal que fue recibido por la parte reclamada el 13/04/2022. La Editorial no ha formulado alegaciones a la propuesta de resolución. Sobre este particular debe tomarse en consideración que conforme al artículo 41.7 LPACAP “Cuando el interesado fuera notificado por distintos cauces, se tomará como fecha de notificación la de aquella que se hubiera producido en primer lugar.” Así pues, el plazo otorgado para evacuar el trámite de alegaciones a la propuesta de resolución concluyó el 19/04/2022, diez días hábiles computados desde el 03/04/2022, fecha de rechazo de la notificación electrónica. Se ha indicado que la parte reclamada -que tuvo acceso por medio del correo postal al escrito en el que se le notificaba la apertura de la fase de prueba y las pruebas solicitadas- envió un correo electrónico al DPD de la AEPD en el que manifestó, entre otras cosas, que la sociedad limitada estaba en proceso de desintegración y sin operaciones desde hacía seis meses. Al hilo de esta declaración de la Editorial hemos de subrayar que ninguna de las circunstancias que menciona son equivalentes a la extinción de la persona jurídica societaria. La parte reclamada no acredita siquiera la disolución de la sociedad debiendo indicar que, acordada la disolución, mientras la liquidación se realiza, la sociedad conserva su personalidad jurídica (artículo 371 del Real Decreto Legislativo 1/2010, por el que se aprueba el Texto Refundido de la Ley de Sociedades de Capital, TRLSC) En todo caso, la escritura pública de extinción de la sociedad se debe inscribir en el Registro Mercantil (R.M.), artículo 396 del TRLSC. En ese sentido, como consta en el Hecho Probado 7º), a fecha 22/03/2022 la última inscripción que aparecía en R.M. a nombre de la sociedad limitada que es parte reclamada en este expediente era de fecha 18/09/2020 y versaba sobre la constitución de la sociedad, la declaración de su carácter unipersonal y el nombramiento como Administrador único de B.B.B.. En definitiva, en fecha 22/03/2022 no existía en el R.M. ninguna inscripción de la que pueda inferirse que la sociedad estuviera en proceso de disolución, por lo que la manifestación de la reclamada, en tanto la persona jurídica sigue existiendo, es irrelevante a los efectos de este expediente sancionador. Así las cosas, habiendo quedado acreditado en el expediente que la página web de la que es titular la parte reclamada, pese a incluir tres formularios de recogida de datos personales, no informaba en los términos a los que venía obligada por el artículo 13 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 del RGPD, se concluye que esa entidad incurrió en una vulneración de esta disposición que es subsumible en el tipo infractor del artículo 83.5.
  26. b)del RGPD. La LOPDGDD, a efectos de prescripción, califica en el artículo 72.1.
  27. h)como una infracción muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” IV Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
  28. a)a j). Entre ellos, el apartado
  29. b)se refiere a dirigir un apercibimiento al responsable o encargado de tratamiento cuando las operaciones de tratamiento hayan vulnerado lo dispuesto en el presente Reglamento; el apartado i), a la imposición de una multa administrativa conforme al artículo 83 del RGPD; el apartado d), a ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado y el apartado g), a ordenar la supresión de los datos personales con arreglo a los artículos 16,17 y 18. El artículo 83.5. del RGPD fija una sanción de multa administrativa (artículo 58.2.
  30. i)para las conductas que en él se tipifican, sin perjuicio de que -como dispone el artículo 83.2. del RGPD- las multas administrativas puedan imponerse juntamente con otras medidas correctivas previstas en el artículo 58.2 del RGPD. No obstante lo anterior, el considerando 148 del RGPD admite la posibilidad de que para las conductas que se tipifican en los apartados 4,5 y 6 del artículo 83 del RGPD se pueda sustituir la multa administrativa prevista en esos preceptos por dirigir al responsable o encargado del tratamiento un apercibimiento contemplado en el artículo 58.2.
  31. b)del RGPD. El Considerando 148 señala: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” (El subrayado es nuestro) La mención que el considerando 148 del RGPD hace a que la infracción sea leve nada tiene que ver con la clasificación que la LOPDGDD hace de las infracciones en muy graves, graves y leves. Clasificación que opera únicamente a efectos de la prescripción. En este supuesto, a efectos de prescripción, la infracción que se atribuye C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 a la parte reclamada tiene la consideración de infracción muy grave (artículo 72.1.h LOPDGDD) La levedad o gravedad de la conducta contraria al RGPD a la que hace referencia el considerando 148 está vinculada con el riesgo que entraña la conducta infractora para los derechos de las personas, en particular para los clientes de la entidad responsable del tratamiento. Y en la valoración del riesgo debe tenerse en cuenta, entre otros elementos, el volumen de clientes. El dictamen 2016/679, WP 253, del Grupo de Trabajo del artículo 29 (en adelante GT29) hace estas consideraciones a propósito de la medida correctiva de apercibimiento: “[...]mediante la evaluación de los hechos del caso a la luz de los criterios generales previstos en el artículo 83, apartado 2, la autoridad de control competente puede decidir que en un caso concreto es más o menos necesario imponer una medida correctiva en forma de multa. [...] En el considerando 148 se presenta la noción de «infracciones leves». Dichas infracciones pueden constituir violaciones de una o varias disposiciones del Reglamento citadas en el artículo 83, apartados 4 o 5. No obstante, la evaluación de los criterios previstos en el artículo 83, apartado 2, puede dar lugar a que la autoridad de control estime, por ejemplo, que en las circunstancias concretas del caso la violación no entraña un riesgo importante para los derechos de los interesados y no afecta a la esencia de la obligación en cuestión. En tales casos, la multa puede ser sustituida (aunque no siempre) por un apercibimiento.[...] El considerando 148 no obliga a la autoridad de control a sustituir siempre una multa por un apercibimiento en caso de infracción leve [...] sino que más bien ofrece esa posibilidad, tras una evaluación concreta de todas las circunstancias del caso. [...] No obstante, la reacción efectiva, proporcionada y disuasoria ante una violación del artículo 83, apartado 5, dependerá de las circunstancias del caso.” (El subrayado es nuestro) En el presente supuesto, evaluando los hechos a la luz de los criterios “previstos en el artículo 83 apartado 2” del RGPD, como aconseja el Dictamen 2016/679 del GT29, la infracción del artículo 13 del Reglamento 2016/679 de la que se responsabiliza a la parte reclamada debe calificarse de “leve”. En ese sentido podemos acudir al apartado
  32. a)del artículo 83.2. del RGPD que alude a “
  33. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. En relación con esta circunstancia, resulta que en el supuesto de hecho objeto de la reclamación no tenemos noticia de que haya existido ningún afectado, ni que se hayan generado daños y perjuicios a un interesado. Es más, hay que subrayar que el reclamante ni siquiera ha manifestado que hubiera cumplimentado alguno de los formularios que se publican en la página web de la parte reclamada mediante los que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 ésta recaba datos personales o que hubiera intentado cumplimentar alguno de ellos. Se ha limitado a declarar, refiriéndose a la Editorial, que “están preocupados” porque les ha comunicado que los formularios de su página web no cumplen con la normativa de protección de datos. Tampoco hay indicios de que la página web de la Editorial tuviera gran difusión ni de que sus usuarios fueran numerosos. Más al contrario, en ese sentido se advierte que la parte reclamada comenzó sus operaciones sociales el 21/08/2020; la reclamación formulada contra ella se presentó en la AEPD el 08/09/2020 -solo diez días después- y la Agencia constató el 02/10/2020 -por tanto, menos de dos meses después de que la parte reclamada iniciara sus operaciones sociales- la existencia en su página web de formularios de recogida de datos personales en los que no se ofrecía la información que es preceptiva conforme al artículo 13 del RGPD. La circunstancia descrita en el apartado
  34. g)del artículo 83.2. RGDP – “
  35. g)las categorías de los datos de carácter personal afectados por la infracción”- puede tomarse también como referencia para ponderar el carácter leve de la infracción que se atribuye a la reclamada y, por consiguiente, la conveniencia de que en el supuesto que aquí se examina se adopte la medida correctiva de apercibimiento. A propósito de esa circunstancia (
  36. g)del artículo 83.2 del RGPD esta AEPD viene entendiendo que, si bien el término categoría que se emplea en esa disposición nos remite inicialmente, haciendo una interpretación literal y estricta de la norma, a la rúbrica del artículo 9 del RGPD, “Tratamiento de categorías especiales de datos personales”, concluyendo así que el RGPD clasifica los datos personales, únicamente, en especialmente protegidos y el resto, una interpretación sistemática y teleológica del artículo 83.2.
  37. g)del RGPD conecta este precepto con otras clasificaciones que ofrece el texto del RGPD. En ese sentido los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que, por su naturaleza, son particularmente sensibles por razón del importante riesgo que pueden entrañar en el contexto de su tratamiento para los derechos y libertades fundamentales. Datos cuyo común denominador es que su tratamiento comporta un riesgo relevante para los derechos y las libertades fundamentales pues podría llegar a provocar daños y perjuicios físicos, materiales o inmateriales. En este grupo o categoría de datos particularmente sensibles se incluyen las categorías de datos especialmente protegidos que regula el artículo 9 del RGPD así se pronuncia el considerando 51 del RGPD- y, además, otros muchos datos no regulados en ese precepto. El considerando 75 del RGPD menciona con detalle los datos personales cuyo tratamiento puede entrañar un riesgo, de gravedad y probabilidad variables, para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Entre éstos alude a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 En el supuesto de hecho que nos ocupa se comprueba que ninguno de los datos personales que podían recabarse por medio de los formularios publicados en la página web de la Editorial tiene el carácter de dato sensible. Por tal razón, desde el punto de vista del “tipo de datos a los que se refieren los formularios de recogida de datos” la conducta de la reclamada contraria al artículo 13 del RGPD también debe de calificarse como leve. En atención a lo indicado y por las razones expuestas, habiendo quedado acreditada la infracción del artículo 13 del RGPD de la que se responsabiliza a la Editorial, infracción tipificada en el artículo 83.5.
  38. b)del RGPD, se acuerda adoptar frente a ella las siguientes medidas correctivas: (I) Dirigirle un apercibimiento conforme al artículo 58.2.
  39. b)RGPD. (II) Ordenarle, a tenor del artículo 58.2.
  40. d)RGPD, que en el plazo de 15 días computado desde que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
  41. b)la LPACAP, proceda a adoptar las medidas necesarias para que las operaciones de tratamiento cumplan la obligación de información que le imponen los artículos 12 y 13 del RGPD salvo que la entidad reclamada acredite ante esta Agencia que ha cancelado su página web. Se pone en conocimiento de la reclamada que el incumplimiento de las medidas correctivas que se le imponen podría ser constitutivo de una nueva infracción que daría lugar a la apertura de un nuevo procedimiento administrativo sancionador dirigido contra ella. Tal infracción se encuentra tipificada en el artículo 83.6 RGPD y se sanciona con multa administrativa de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un APERCIBIMIENTO a EDITORIAL RIBADEO S.L., con NIF B01864982, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  42. b)del RGPD. SEGUNDO: ORDENAR a EDITORIAL RIBADEO, S.L., con NIF B01864982, a tenor del artículo 58.2.
  43. d)del RGPD, por una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
  44. b)del citado Reglamento, que, en el plazo de 15 días computado desde que la presente resolución sea ejecutiva, proceda a adoptar las medidas necesarias para cumplir la obligación de información que le imponen los artículos 12 y 13 del RGPD. TERCERO: NOTIFICAR la presente resolución a EDITORIAL RIBADEO S.L., con NIF B01864982. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  45. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.