1/6 Expediente N.º: EXP202318956 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de junio de 2023, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento sancionador del expediente número EXP202211953, seguido contra CHATWITH.IO WORLDWIDE, S.L. (en adelante, la parte reclamada). En dicha resolución, además de sancionar con la imposición de multas, se requería la adopción de las siguientes medidas: «SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a la entidad CHATWITH.IO WORLDWIDE, S.L. con CIF B88184239, titular de la página web a web www.iurisnow.com, que en el plazo de un mes contado desde la notificación del presente acto, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho II.-3, de esta resolución. En el mismo plazo indicado, la entidad deberá informar y justificar ante esta Agencia el cumplimiento de las medidas impuestas. (…) CUARTO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a la entidad CHATWITH.IO WORLDWIDE, S.L. con CIF B88184239, titular de la página web a web www.iurisnow.com, que en el plazo de un mes contado desde la notificación del presente acto, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho III.-4, de esta resolución. En el mismo plazo indicado, la entidad deberá informar y justificar ante esta Agencia el cumplimiento de las medidas.” Así, en los referidos Fundamento de Derecho II.-3 y Fundamento de Derecho III.-4 de la Resolución, se señala: “II.-3. Medidas Confirmada la infracción, es preciso determinar si procede o no imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 dispuesto en el art. 83.2 del RGPD. En el texto de este acuerdo se establecen cuáles han sido las infracciones presuntamente cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la entidad responsable para que, en el plazo que se indica en la parte dispositiva, adapta la “Política de Privacidad” de su página web a la normativa vigente, en concreto a lo estipulado en el artículo 13 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. (…) III.-4 Medidas Confirmada la infracción, es preciso determinar si procede o no imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el texto de este acuerdo se establecen cuáles han sido las infracciones presuntamente cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la entidad responsable para que, en el plazo que se indica en la parte dispositiva, adapta la “Política de Privacidad” de su página web a la normativa vigente, en concreto a lo estipulado en el artículo 5.1.
- a)del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador.» SEGUNDO: La notificación de la resolución del procedimiento sancionador, en la que se concedía a la parte reclamada el plazo de un mes para la adopción de las medidas ordenadas, se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no siendo recogida por el responsable dentro del plazo de puesta a disposición, como consta en el acuse de recibo que obra en el expediente, y entendiéndose por tanto efectuada conforme a lo previsto en los art. 43.2 y 41.5 de la LPACAP en fecha 15 de julio de 2023. Aunque la notificación se practicó válidamente por medios electrónicos, a título informativo se envió una copia de la resolución por vía postal que fue devuelta a origen por Correos por desconocido el 9 de agosto de 2023, como consta en el acuse de recibo que obra en el expediente, pese a haberse enviado al domicilio fiscal facilitado por la Agencia Estatal de Administración Tributaria. TERCERO: Tras el transcurso del plazo indicado sin que en esta Agencia se hubiera recibido escrito alguno sobre las medidas implementadas por la parte reclamada, se procedió a requerirles nuevamente para que, en el plazo de diez días hábiles, acreditaran ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución. Este requerimiento, aunque se envió al domicilio fiscal de la parte reclamada, fue devuelto a origen por Correos por desconocido con fecha 12 de diciembre de 2023, según el acuse de recibo que obra en el expediente. CUARTO: La parte reclamada no ha remitido respuesta alguna a esta Agencia que acredite el cumplimiento de las medidas impuestas. QUINTO: Contra la citada resolución, en que se requiere la adopción de medidas, no cabe ningún recurso ordinario en vía administrativa por el transcurso de los plazos establecidos para ello. Asimismo, el interesado no ha manifestado su intención de interponer recurso contencioso-administrativo, ni esta Agencia tiene constancia de que el mismo se haya interpuesto y se haya solicitado suspensión cautelar de la resolución. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CHATWITH.IO WORLDWIDE, S.L. es una empresa constituida en el año 2018 y con un volumen de negocios de A.A.A. euros en el año 2020. SÉPTIMO: Con fecha 15 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.6 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). OCTAVO: El acuerdo de inicio del presente procedimiento sancionador fue notificado, conforme a las normas establecidas en la LPACAP, por medio de un anuncio publicado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 en el Boletín Oficial del Estado de fecha 29 de enero de 2024, tras resultar infructuoso el intento de notificación postal en el domicilio fiscal de la parte reclamada, tal como consta acreditado en el expediente. De acuerdo con el art. 42.1 de la LPACAP, la notificación del acuerdo de inicio fue puesta a disposición del interesado también por medios electrónicos a través de la dirección electrónica habilitada única. NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. DÉCIMO: De conformidad con lo establecido en el artículo 64 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), trascurrido el plazo de doce meses a contar desde la fecha del acuerdo de inicio del presente procedimiento sancionador, se produjo su caducidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad del procedimiento El artículo 64 de la LOPDGDD, en su apartado segundo, dispone lo siguiente: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. (…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 A tenor de lo dispuesto en este artículo, el procedimiento sancionador ha de entenderse caducado si, transcurridos más de doce meses contados desde la fecha del acuerdo de inicio, no se ha procedido a dictar y notificar la resolución del procedimiento sancionador. En el presente caso, el acuerdo de inicio se firmó el día 15/01/2024. El plazo de doce meses de duración máxima del procedimiento sancionador finalizaba el día 15/01/2025, y actualmente el procedimiento aún está pendiente de finalización, por lo que debe declararse su caducidad. II Prescripción de la infracción Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Por lo tanto, de acuerdo con lo señalado, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR LA CADUCIDAD y en consecuencia ARCHIVAR el procedimiento sancionador del expediente número EXP202318956, seguido contra CHATWITH.IO WORLDWIDE, S.L. por la presunta infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.6 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CHATWITH.IO WORLDWIDE, S.L., con NIF B88184239. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es