← España

PS-00491-2020

1/6  Procedimiento Nº: PS/00491/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00491/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, HIGHCLIFFE ESTATES MARBELLA, S.L., con CIF.: B93407872, titular de la página web: www.higcliffeestates.com , (en adelante, “la entidad reclamada”), en virtud de la reclamación presentada por la entidad, BUSINESS & LAW PARTNERS con CIF.: B87322913, (en adelante, “la entidad reclamante”), por presunta vulneración de la normativa de protección de datos, y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 29/07/20, la entidad reclamante remitió a esta Agencia escrito de reclamación, indicando, entre otras: “Se ha tenido conocimiento de que la página web www.higcliffeestates.com no cumple la normativa en materia de tratamiento de datos personales reflejada en la LOPDGDD y el RGPD. El sitio web carece de Aviso Legal, Política de Privacidad y casilla de aceptación de esta política en el formulario de contacto donde se recogen datos de carácter personal. Se desconoce, por tanto, el tratamiento que se dará a los datos recogidos”. Además, dentro de la página web, (…) el siguiente enlace: ***URL.1, según se ha constatado. se llega a un aviso en el que se utiliza y muestra la imagen de uno de los socios del despacho BUSINESS & LAW, sin su consentimiento”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 06/10/22, se dirige requerimiento informativo a la entidad reclamada. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la entidad reclamada, el día 06/10/20, a través del servicio de SICER, fue devuelto a origen con el mensaje de “desconocido” el día 28/10/20. TERCERO: Con fecha 17/12/20 por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presentada por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD), al considerar que la respuesta dada por la reclamada a esta Agencia en relación a los hechos reclamados no acredita su sometimiento a la legislación vigente. CUARTO: por parte de esta Agencia, se realizan comprobaciones sobre la Política de Privacidad, Aviso Legal y de la Política de Cookies de la página web denunciada, www.higcliffeestates.com, comprobándose las siguientes características al respecto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - Sobre el tratamiento de datos personales en la página web: En la página inicial, a través del enlace <<contacto>>, situado en la parte inferior de la misma, se redirige a un formulario, http://www.highcliffeestates.com/es/contacto, donde se recogen datos personales de los usuarios, como el nombre, teléfono y email. En la misma página donde se encuentra el formulario http://www.highcliffeestates.com/es/contacto, existe la siguiente información sobre el responsable del tratamiento de los datos personales: - e-mail: info@highcliffeesta tes.com, - Teléfono +34 661 869 811. - Sobre la “Política de Privacidad” de la página web: A través del link <<Política de Privacidad>>, existente en la parte inferior de la página de contacto indicada anteriormente, así como en la parte inferior de la página principal, la web redirige a una nueva página, http://www.highcliffeestates.com/es/politica-privacidad, que proporciona, la identificación del responsable del tratamiento de los datos personales, sobre la Propiedad intelectual e industrial, el responsabilidad de los contenidos; la Reproducción de contenidos; sobre legitimación del tratamiento de datos personales y el ejercicios de los derechos de los usuarios; y sobre la ley aplicable - Sobre la “Política de Cookies” de la página web: En la página inicial de la web indicada (primera capa), no se despliega ningún banner que informe de la utilización de cookies, no obstante, se comprueba que solamente se utiliza una cookie de sesión, con finalidad técnica, tal y como indica la entidad en su “política de privacidad”. - Sobre el tratamiento no consentido de los datos personales: Dentro de la página web (…) y siguiendo el enlace: ***URL.1, (…) se puede apreciar la fotografía de una persona y un “Aviso a Agencias Locales”, alertando de las presuntas actuaciones de dos personas pertenecientes a la entidad reclamante. CUARTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, la Directora de la Agencia Española de Protección de Datos, con fecha 12/02/21, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 13 con una sanción de apercibimiento y por infracción del artículo 6.1 del RGPD con sanción de 8.000 euros. QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, no se ha recibió ningún tipo de alegaciones a la incoación de expediente, en el tiempo concedido al efecto. HECHOS PROBADOS 1.- Según se manifiesta en la reclamación, la página web www.higcliffeestates.com no cumple la normativa en materia de tratamiento de datos personales. Además, dentro de la página web, se utiliza imágenes personales sin el consentimiento expreso para ello ni otra causa que legitime el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 2.- Según ha podido constatar esta Agencia, en la página web en cuestión, se pueden recoger datos personales de los usuarios, no obstante, su política de privacidad sigue haciendo referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). 3.- Sobre el tratamiento no consentido de los datos personales, se ha podido comprobar que en la página web, a través de ***URL.1 (…) se puede apreciar la fotografía de una persona y un “Aviso a Agencias Locales”, alertando de las presuntas actuaciones irregulares de dos personas pertenecientes a la entidad reclamante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II El artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  2. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la AEPD). En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
  3. f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba el importe de la sanción con arreglo a los criterios de graduación tenidos en cuenta en función de las evidencias obtenidas a esa fecha, informándose también de las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artículo 85 de la LPACAP. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el acuerdo de inicio del presente expediente es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Sobre la “Política de Privacidad” de la página web, se ha constatado que la misma hace referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Según el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue, “a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)” y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18, quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD. Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, que establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales. Por su parte, el artículo 72.1.
  5. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  6. b)del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  7. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
  8. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”, por lo que, la sanción sería de “apercibimiento”. IV Sobre el tratamiento no consentido de los datos personales, se ha comprobado que existe una publicación de una fotografía del interesado y sus datos personales, según reclamación, sin su consentimiento expreso del interesado. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del art. 6.1 del RGPD, al publicar datos personales del reclamante sin la legitimación necesaria para ello. Por su parte, el artículo 72.1.
  9. b)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El incumplimiento de los requisitos exigidos por el artículo 6 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  10. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La intencionalidad o negligencia en la infracción. En el presente caso estamos ante acción negligente intencionada, (apartado b). - La forma en que la autoridad de control tuvo conocimiento de la infracción. La forma en que esta AEPD ha tenido conocimiento ha sido por la interposición de la denuncia por parte de la reclamante, (apartado h). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6.1, permite fijar una sanción de 8.000 euros, (ocho mil euros). De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad HIGHCLIFFE ESTATES MARBELLA, S.L., con CIF.: B93407872, titular de la página web: www.higcliffeestates.com, una sanción de “apercibimiento”, por la infracción del artículo 13) del RGPD, y una sanción de 8.000 euros (ocho mil euros), por la infracción del artículo 6.1) del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad HIGHCLIFFE ESTATES MARBELLA, S.L., y al reclamante sobre el resultado de la reclamación. Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  11. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.