PS-00528-2022

1/10  Expediente N.º: EXP202105262 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Según manifiesta, desde la web www.mascotagadget.com, una tienda online donde se venden productos para mascotas, se estarían cediendo sus datos personales a terceros sin consentimiento del usuario y sin informar de ello. Asegura que los artículos que venden son artículos fabricados en China para lo cual el responsable de la web proporciona los datos de los clientes directamente al proveedor chino sin informar de ello y sin obtener el consentimiento informado de los clientes. Junto a la notificación se aporta una imagen de la etiqueta del paquete de su pedido en la que figura como remitente la dirección de un tercero en la que consta como contacto "(…)" y no la dirección del responsable que se proporciona en la web. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelto por “desconocido”; No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 16 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: B.B.B. con NIF ***NIF.1 con domicilio en ***DIRECCIÓN.1 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 29/07/2022 se comprueba, respecto de la web mascotagadget.com, que: 1. Consta una página web de venta de artículos para mascotas. Que incluye un carrito de la compra y una forma de que los usuarios creen su cuenta. 2. Que en la política de privacidad consta: “[…] SECCIÓN 4 – SHOPIFY Nuestra tienda se encuentra alojada en Shopify Inc. […] SECCIÓN 5 - SERVICIOS DE TERCERAS PARTES En general, los proveedores de terceras partes utilizados por nosotros solo recopilarán, usarán y divulgarán tu información en la medida que sea necesaria para que les permita desempeñar los servicios que nos proveen. Sin embargo, algunos proveedores de servicios de terceros, tales como pasarelas de pago y otros procesadores de transacciones de pago, tienen sus propias políticas de privacidad con respecto a la información que estamos obligados a proporcionarles para las transacciones relacionadas con las compras. Para estos proveedores, te recomendamos que leas las políticas de privacidad para que puedas entender la manera en que tu información personal será manejada. En particular, recuerda que algunos proveedores pueden estar ubicados o contar con instalaciones que se encuentran en una jurisdicción diferente a ti o nosotros. Así que, si deseas proceder con una transacción que involucra los servicios de un proveedor a terceros, tu información puede estar sujeta a las leyes de la jurisdicción (Española y China) en que se encuentra el proveedor de servicios o sus instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 A modo de ejemplo, si te encuentras en Canadá y tu transacción es procesada por una pasarela de pago con sede en Estados Unidos, entonces tu información personal utilizada para completar la transacción puede ser sujeto de divulgación en virtud de la legislación de Estados Unidos, incluyendo la Ley Patriota. […]” 3. Que en los términos del servicio consta: “[…] SECCIÓN 8 - ENLACES DE TERCERAS PARTES Cierto contenido, productos y servicios disponibles vía nuestro Servicio puede incluir material de terceras partes. Enlaces de terceras partes en este sitio pueden direccionarte a sitios web de terceras partes que no están afiliadas con nosotros. No nos responsabilizamos de examinar o evaluar el contenido o exactitud y no garantizamos ni tendremos ninguna obligación o responsabilidad por cualquier material de terceros o sitios web, o de cualquier material, productos o servicios de terceros. No nos hacemos responsables de cualquier daño o daños relacionados con la adquisición o utilización de bienes, servicios, recursos, contenidos, o cualquier otra transacción realizada en conexión con sitios web de terceros. Por favor revisa cuidadosamente las políticas y prácticas de terceros y asegúrate de entenderlas antes de participar en cualquier transacción. Quejas, reclamos, inquietudes o preguntas con respecto a productos de terceros deben ser dirigidas a la tercera parte. […]” 4. Que, tras la consulta de tres productos concretos, no consta indicación de que sean productos suministrados por terceros, ni en la ficha del producto ni en el carrito de la compra. Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 01/09/2022 se descarga, del portal web habilitado al efecto por SHOPIFY INTERNATIONAL LIMITED, la respuesta a dicho requerimiento de información enviado a SHOPIFY INTERNATIONAL LIMITED a través de su Portal Legal ubicado en https://legal.shopify.com/Shopify-lawEnfForm/en/. Que en dicha respuesta consta como titular de la tienda www.mascotagadget.com al siguiente: B.B.B. ***DIRECCIÓN.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Email: ***EMAIL.1 Con fecha 01/09/2022, la Agencia Tributaria Servicio de Planificación y Relaciones Institucionales envía a esta Agencia datos de identidad y dirección fiscal de B.B.B.. Con fecha 01/09/2022 se envía requerimiento de información a B.B.B. por correo postal. No se ha recibido contestación a fecha actual. En la política de privacidad y en los términos del servicio consta mención a que ciertos productos pueden ser de terceras partes y que los datos pueden ser tratados por los mismos. CUARTO: Con fecha 27 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.

1. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que titular de la tienda a la que corresponde la página web: www.mascotagadget.com es la parte reclamada. SEGUNDO: Consta acreditado que la política de privacidad de la página web no cumple con todos los requisitos establecidos en el artículo 13 del RGPD, pues no se informa del plazo durante el cual se conservaran los datos personales, o de la posibilidad de presentar una reclamación ante la autoridad de control. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida A tenor del artículo 5.1 del RGPD el tratamiento de datos personales habrá de regirse por los siguientes principios: “1. Los datos personales serán:
3. a)tratados de manera lícita, leal y transparente con el interesado (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo ” Una de las manifestaciones del principio de transparencia es el derecho que el RGPD otorga a los titulares de los datos a recibir información y la correlativa obligación que impone al responsable del tratamiento de facilitar al interesado la información que detallan los artículos 12, 13 y 14 del RGPD. Estas dos últimas disposiciones contemplan dos supuestos distintos: Que los datos se obtengan directamente del interesado (artículo 13), como sucede en la página web www.mascotagadget.com, o que los datos no se obtengan del interesado (artículo 14). El artículo 13 del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
15. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las con-secuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Los Considerandos 39 y 60 del RGPD contribuyen a precisar el alcance del derecho de información que se otorga a los interesados. El Considerando 39 establece: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. [...].” El Considerando 60 aclara que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieron.” En el presente caso, no consta que se realicen cesiones de datos para las que se requiera el consentimiento del interesado. Asimismo, se observa que la política de privacidad no cumple con todos los requisitos establecidos en el artículo 13 del RGPD, pues no se informa del plazo durante el cual se conservaran los datos personales, o de la posibilidad de presentar una reclamación ante la autoridad de control. III Tipificación y calificación de la infracción El artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
16. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
17. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. IV Propuesta de sanción A efectos de decidir sobre la imposición de una multa administrativa y su cuantía se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de 500 € (quinientos euros). V Medidas De acuerdo con lo establecido en el artículo 58.2
18. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” se indica que, en el plazo de 30 días desde la recepción de la presente resolución, la parte reclamada deberá proceder a completar la política de privacidad en su página web, ya que se recojan datos personales La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 500 euros (QUINIENTOS euros).. SEGUNDO: ORDENAR a, B.B.B. con NIF ***NIF.1, a tenor del artículo 58.2.
19. d)del RGPD, por una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
20. b)del citado Reglamento, que, en el plazo de 30 días computado desde que la presente resolución sea ejecutiva, proceda a completar la política de privacidad en su página web, ya que se recojan datos personales y a comunicar a la AEPD su cumplimiento. TERCERO: NOTIFICAR la presente resolución a B.B.B.. CUARTO : Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-00000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es