← España

PS-00616-2021

1/11  Expediente N.º: PS/00616/2021 IMI Reference: A56ID 162649- Case Register 353519 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 3 de noviembre de 2020 interpuso reclamación ante la autoridad austríaca de protección de datos. La reclamación se dirige contra FLORAQUEEN FLOWERING THE WORLD S.L., con NIF B63609051 (en adelante, FLORAQUEEN). Los motivos en que basa la reclamación son los siguientes: La parte reclamante reclama por un derecho de supresión no atendido correctamente. Tras la solicitud de eliminación de la cuenta y confirmación por parte del responsable parece que la persona aún tiene acceso a la misma. En fecha 2 de octubre de 2020 recibe correo electrónico en que confirman la recepción de su solicitud de supresión de datos. En fecha 12 de octubre de 2020 envía nuevo correo a la entidad comunicando que su cuenta sigue aún activa y el 13 de octubre le responden que todo ha sido borrado. Ese mismo día responde que ha verificado que su cuenta sigue activa. El 20 de octubre recibe respuesta indicando que han tratado nuevamente de borrar su cuenta El 23 de octubre envía nuevo correo indicando que su cuenta sigue abierta. Junto con la reclamación aporta: - Impresión de pantalla de un correo de fecha 2 de octubre de 2020 y remitente ***EMAIL.1 en el que, en respuesta a un correo de la parte reclamante en el que solicitaba se suprimiera su cuenta y toda su información personal de acuerdo con el artículo 17 del RGPD, se le indica que su solicitud fue enviada al departamento responsable. - Impresión de pantalla de un correo de fecha 4 de octubre de 2020 desde la dirección de correo electrónico de la parte reclamante a ***EMAIL.2 en el que da las gracias y pide se le informe cuando la supresión se realice. - Impresión de pantalla de un correo de fecha 12 de octubre de 2020 desde la dirección de correo electrónico de la parte reclamante a ***EMAIL.2 en el que pregunta si hay novedades sobre su solicitud e indica que su cuenta sigue activa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 - Impresión de pantalla de un correo de fecha 13 de octubre de 2020 desde la dirección de correo electrónico ***EMAIL.1 a la dirección de correo electrónico de la parte reclamante en el que se le informa que todo ha sido eliminado. - Impresión de pantalla de un correo de fecha 13 de octubre de 2020 desde la dirección de correo electrónico de la parte reclamante a ***EMAIL.2 en el que indica que no se ha eliminado nada y adjunta una captura de pantalla en la que puede verse que accede a su cuenta. Y solicita que se reenvíe el correo electrónico al DPD o departamento de privacidad. - Impresión de pantalla de un correo de fecha 20 de octubre de 2020 desde la dirección de correo electrónico de la parte reclamante a ***EMAIL.2 en el que pregunta si hay alguna novedad sobre su solicitud. - Impresión de pantalla de un correo de fecha 20 de octubre de 2020 desde la dirección de correo electrónico ***EMAIL.1 a la dirección de correo electrónico de la parte reclamante en el que se indica que se intentó eliminar de nuevo su cuenta y se le pide un par de días. - Impresión de pantalla de un correo de fecha 23 de octubre de 2020 desde la dirección de correo electrónico de la parte reclamante a ***EMAIL.2 en el que indica que aún puede acceder a su cuenta y puede ver toda su información personal. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 11 de noviembre de 2020 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que FLORAQUEEN tiene su sede social y establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada”, además de la autoridad austríaca de protección de datos, la autoridad de protección de datos de Polonia, Noruega, Dinamarca, Estonia, Hungría, Italia, Francia, Finlandia y la autoridad alemana de Berlín, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dichos Estados miembro resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. También se declaró autoridad de control interesada la de Suecia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 TERCERO: Con fecha 16 de febrero de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Con fecha 11 de marzo de 2021, en la política de privacidad de la entidad se ha verificado que figura la siguiente información: “El responsable designado para supervisar cuestiones relacionadas con la privacidad está a tu disposición para resolver tus dudas y solicitudes del ejercicio de tus derechos. Estos son sus datos de contacto: Dirección de correo electrónico: ***EMAIL.3 Número de teléfono: ***TELÉFONO.1 - Con fecha 11 de marzo de 2021 se ha llamado repetidas veces al teléfono que figura en la política de privacidad ***TELÉFONO.1 y no se ha obtenido respuesta alguna. - Ese mismo día se ha enviado un correo electrónico a la dirección ***EMAIL.1, con copia a la dirección ***EMAIL.2, indicando que se puede descargar un requerimiento de información de la Agencia Española de Protección de Datos en el sistema de notificación electrónica, pero se recibió como respuesta: “No se pudo entregar a estos destinatarios o grupos: El mensaje no se pudo entregar. A pesar de los intentos repetidos de ponerse en contacto con el sistema de correo electrónico del destinatario este no ha respondido.” - Con fecha 11 de marzo de 2021 se envió un requerimiento por el sistema de notificación electrónica, el cual fue rechazado de forma automática. - Con fecha 17 de noviembre de 2021 se envió un nuevo requerimiento por el sistema de notificación electrónica, que fue aceptada por la entidad el 25 de noviembre de 2021 sin que se hubiera recibido respuesta alguna. En dicho requerimiento se solicitaba a la entidad que facilitara información relativa a la solicitud de cancelación de datos de la parte reclamante, debiendo comunicar: 1. Descripción del procedimiento establecido para atender el derecho de cancelación de datos. 2. Detalle de si se han cancelado los datos del afectado 3. Decisión adoptada a propósito de esta reclamación. Se adjuntan correos electrónicos facilitados por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 4. Acreditación de la respuesta facilitada a la solicitud del reclamante, relativa al ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. 5. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 6. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. QUINTO: Con fecha 5 de enero de 2020, la Directora de la AEPD adoptó una propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI esta propuesta de proyecto de decisión como consulta informal y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para realizar comentarios. SEXTO: Con fecha 24 de enero de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a FLORAQUEEN conforme a las normas establecidas en la LPACAP el día 4 de febrero de 2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 20 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FLORAQUEEN, a fin de dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indica que tiene un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a FLORAQUEEN conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 22 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de FLORAQUEEN. El artículo 64.2.

  1. f)de la LPACAP -disposición de la que se informó a FLORAQUEEN en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a FLORAQUEEN y la sanción que podría imponerse. Por ello, tomando en consideración que FLORAQUEEN no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 2 de octubre de 2020 a las 11:58 hs se envió un correo electrónico desde la dirección ***email.1 a ***EMAIL.2, con el siguiente mensaje (en inglés el original): “Buenas tardes, Hemos pasado esta información a nuestro departamento responsable. Muchas gracias por usar nuestro servicio. Sinceramente (…)]”. Este mensaje responde a un mensaje anterior que decía (en inglés el original): “Hola, por favor elimine mi cuenta y todos los datos personales asociados de acuerdo al art. 17 del RGPD. Por favor, avíseme cuando la supresión de la cuenta se haya realizadotiene un mes. Gracias, A.A.A. ***EMAIL.2” SEGUNDO: El 4 de octubre de 2020 a las 08:40 hs, en respuesta al correo anteriormente reseñado, se envió un correo electrónico desde la dirección ***EMAIL.3 a ***EMAIL.4, con el siguiente mensaje (en inglés el original): “Hola, Muchas gracias, Por favor, contácteme cuando la supresión se haya realizado- gracias, XXXXXXX”. TERCERO: El 12 de octubre de 2020 a las 09:37 hs, en respuesta al correo anteriormente reseñado, se envió un correo electrónico desde la dirección ***EMAIL.3 a ***EMAIL.4, con el siguiente mensaje (en inglés el original): “Hola, Muchas gracias, Sólo quería chequear si tenía novedades sobre mi solicitud de supresión RGPD. Mi cuenta sigue activa. Gracias, XXXXXXXX”. CUARTO: El 13 de octubre de 2020 a las 15:51 hs se envió un correo electrónico desde la dirección ***email.1 a ***EMAIL.2, con el siguiente mensaje (en inglés el original): “Buenas tardes, Sr. XXXXXXXX, Todo ha sido suprimido. Gracias por su tiempo y comprensión (…)]”. QUINTO: El 13 de octubre de 2020 a las 15:56 hs, en respuesta al correo anteriormente reseñado, se envió un correo electrónico desde la dirección ***EMAIL.3 a ***EMAIL.4, con el siguiente mensaje (en inglés el original): “Hola, XXXXXX, no, nada ha sido suprimido. Aún puedo acceder a mi cuenta. Adjunto una captura de pantalla. Por favor reenvía este correo electrónico a tu Delegado de Protección de Datos o al departamento de privacidad. Gracias, XXXXXXX”. Se adjunta una captura de pantalla en la que se puede ver en la página de FLORAQUEEN el perfil del usuario de la parte reclamante. SEXTO: El 20 de octubre de 2020 a las 07:20 hs, en respuesta al correo anteriormente reseñado, se envió un correo electrónico desde la dirección ***EMAIL.3 a ***EMAIL.4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 con el siguiente mensaje (en inglés el original): “Hola, alguna novedad sobre esto? Tienen hasta el 2 de noviembre, luego informaré a mi autoridad local de protección de datos sobre este caso. Gracias, XXXXX”. SÉPTIMO: El 20 de octubre de 2020 a las 12:22 hs se envió un correo electrónico desde la dirección ***email.1 a ***EMAIL.2, con el siguiente mensaje (en inglés el original): “Buenos días, XXXXX, Hemos intentado de nuevo suprimir sus datos personales, por favor deje pasar un par de días y si sigue funcionando, por favor envíenos otro correo electrónico. Lamentamos mucho la molestia y muchas gracias por su paciencia. Saludos cordiales (…)]”. OCTAVO: El 23 de octubre de 2020 a las 11:47 hs, en respuesta al correo anteriormente reseñado, se envió un correo electrónico desde la dirección ***EMAIL.3 a ***EMAIL.4, con el siguiente mensaje (en inglés el original): “Hola, aún puedo iniciar sesión en mi cuenta, todos los datos personales son visibles. Reportaré este caso a mi autoridad local de protección de datos https://www.data-protection-authority.gv.at el 2 de noviembre, un mes después de que se abriera este caso. Gracias, XXXXXXXXXX”. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FLORAQUEEN realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre y correo electrónico, entre otros tratamientos. FLORAQUEEN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 FLORAQUEEN está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, FLORAQUEEN tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de supresión de los datos personales se regula en el artículo 17 del RGPD y las modalidades de ejercicio de los derechos de los interesados se detallan en el artículo 12 del RGPD. III Derecho de supresión El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  4. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  5. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  6. d)los datos personales hayan sido tratados ilícitamente;
  7. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  8. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. (…) 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  9. a)para ejercer el derecho a la libertad de expresión e información;
  10. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  11. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  12. h)e i), y apartado 3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11
  13. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  14. e)para la formulación, el ejercicio o la defensa de reclamaciones.” En el presente caso, consta que la parte reclamante había solicitado a FLORAQUEEN la supresión de sus datos personales en numerosas ocasiones. IV Ejercicio de los derechos del interesado El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” En el presente caso, consta que la parte reclamante solicitó la supresión de su cuenta y sus datos personales el día 2 de octubre de 2020. No obstante, a 3 de noviembre de 2020 aún no había recibido respuesta por parte de FLORAQUEEN. Tampoco ha quedado acreditado en el presente expediente que FLORAQUEEN hubiera dado respuesta a la solicitud de la parte reclamante con posterioridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 De conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLORAQUEEN, por vulneración del artículo 12 del RGPD, en relación con el artículo 17 del RGPD. V Tipificación de la infracción del artículo 12 del RGPD La citada infracción del artículo 12 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  15. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  16. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  17. k)de esta ley orgánica”. VI Sanción por la infracción del artículo 12 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  18. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  19. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, atendiendo a que no constan antecedentes en esta Agencia de FLORAQUEEN por no haber atendido debidamente el ejercicio de un derecho de supresión y a que se trata de una empresa de tipo “Autónoma”, permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a FLORAQUEEN. VII Imposición de medidas Se estima procedente ordenar al responsable que en el plazo de 30 días proceda a acreditar ante esta Agencia que ha suprimido los datos personales de la parte reclamante y se lo ha comunicado debidamente, tal como indica el artículo 12 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2
  20. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con dirigir un apercibimiento, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a FLORAQUEEN FLOWERING THE WORLD S.L., con NIF B63609051, por una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 SEGUNDO: ORDENAR a FLORAQUEEN FLOWERING THE WORLD S.L., con NIF B63609051, que en el plazo de 30 días acredite ante esta Agencia que ha suprimido todos los datos personales de la parte reclamante y se lo ha comunicado debidamente, de conformidad con lo dispuesto en el artículo 12 del RGPD. TERCERO: NOTIFICAR la presente resolución a FLORAQUEEN FLOWERING THE WORLD S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta resolución, una vez sea firme, a las autoridades de control interesadas y al Comité Europeo de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.