← España

PS-00688-2022

1/18  Expediente N.º: EXP202306259 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 09/03/2021, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra ANIVERSALIA NETWORKS, S.L. con NIF B12535183 (en adelante, ANIVERSALIA), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. En la reclamación se indica lo siguiente, en relación con la materia de protección de datos de carácter personal: “Quiero denunciar que la web aniversalia.com no tiene publicado ningún email, teléfono u otro dato de contacto donde poder dirigirse a fin de ejercer mis derechos de acceso, rectificación, cancelación, oposición de los datos personales que pueda tener esta empresa y que aparecen publicados en google, que son mi nombre y apellidos y una supuesta fecha de nacimiento que es incorrecta. Además, añadir que me he puesto en contacto con nicline y arsys sl, empresa donde se encuentra registrado el dominio "anivesalia.com" a fin de que facilitasen algún dato de contacto o donde poder dirigir mi solicitud de ejercicio de mis derechos arco, me han confirmado que existe este dominio pero tampoco me han facilitado cómo poder contactar con los dueños del dominio anivesalia.com. les adjunto emails.” Adjunta copia de los correos electrónicos intercambiados con las empresas donde se encuentra registrado el dominio “aniversalia.com” y una copia del formulario de contacto del sitio web www.aniversalia.com cumplimentado por la parte reclamante. SEGUNDO: A la vista de los hechos denunciados, esta Agencia comprobó que la web www.aniversalia.com a fecha 14/04/2021 continuaba sin adecuar su Política de Privacidad a lo previsto en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Bajo la rúbrica “Aviso legal y Política de Privacidad”, dividida en cuatro apartados, indica lo siguiente: “En cumplimiento de lo establecido en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que los datos que nos facilite mediante la cumplimentación del presente formulario pasarán a formar parte de un fichero propiedad de ANIVERSALIA NETWORKS S.L. para la gestión de USUARIOS y a tenor de nuestra política de privacidad. Así mismo, le informamos que puede ejercer los derechos de acceso, rectificación, cancelación y oposición en la sede central de ANIVERSALIA NETWORKS S.L. Calle Alloza, 109 -, 12001 Castellón España.” En el apartado segundo añade: “En ANIVERSALIA nos comprometemos a proteger su privacidad. Puede visitar la mayoría de las páginas de nuestro sitio sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 proporcionarnos ninguna información acerca de usted. Sin embargo, algunas veces necesitamos información para ofrecer los servicios solicitados y esta declaración de privacidad explica la recopilación de datos y su uso en esas situaciones…”. En el tercer apartado (“Información Personal”), se hace mención a la recopilación, uso, control, acceso y seguridad de la información personal que se recopila a través del sitio web www.aniversalia.com; mientras que, el cuarto apartado, se dedica a la Política de Cookies. También, se accedió al Registro Mercantil para conocer los datos generales de ANIVERSALIA y en él consta una dirección distinta a la indicada en la Política de Privacidad, así como al registro de Whois en el que aparece como registrantes del dominio de la web www.aniversalia.com, NICLINE.COM junto con ARSYS INTERNET, S.L. Por último, esta Agencia comprobó que continua activo el perfil de la parte reclamante en la web www.aniversalia.com donde se pueden acceder a sus datos personales, en concreto a su nombre y apellidos, edad, provincia y país. TERCERO: Con carácter previo a la admisión a trámite de esta reclamación, la Agencia dio traslado de ella a ANIVERSALIA en fecha 21/04/2021, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). Se llevaron a cabo dos intentos de notificación, primero electrónica y después por medio de correo postal sin que ANIVERSALIA recogiera ninguna de las dos notificaciones. CUARTO: La Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante el día 29/06/2021. QUINTO: El 15/09/2021 esta Agencia accedió al sitio web www.aniversalia.com, quedando comprobado, por una parte, que ANIVERSALIA es la responsable del sitio web y, por otro lado, que su Política de Privacidad continúa siendo la misma que la expuesta en el apartado de “Hechos”, segundo punto, de este acuerdo. Con respecto a la recogida de datos personales, en el sitio web existen dos formularios, de contacto y de registro. El primero de ellos, permite a cualquier persona realizar las consultas que estime oportunas, debiendo cumplimentar para ello el correspondiente formulario que recoge como obligatorios el nombre y email. Por su parte, el formulario de registro solamente recoge los datos personales de aquellos que se quieran crear un perfil en la página web, siendo obligatorio introducir el nombre y apellidos, correo electrónico, sexo, fecha de nacimiento, país de residencia y provincia de residencia; pero no el número de móvil o un correo electrónico alternativo. Asimismo, para poder registrarse adecuadamente exige aceptar las “Condiciones del Servicio de Aniversalia” en las que se indica, entre otras cuestiones, las siguientes: - “Es inherente al servicio la transferencia de datos de carácter personal y su intercambio con otros usuarios. Dada la naturaleza del servicio, el usuario acepta que ciertos datos de carácter personal proporcionados por él mismo se tratan de forma automatizada por aniversalia y son puestos a disposición de los otros usuarios, con las finalidades y bajo las condiciones del servicio”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 - “El usuario acepta que su acceso al portal y/o a sus servicios podrá ser cancelado, sin necesidad de preaviso, unilateralmente por parte de aniversalia y por tanto acepta que aniversalia puede desactivar o eliminar su cuenta y toda la información y archivos relativos a la misma y denegarle el acceso a tales archivos o al servicio. El usuario acepta que aniversalia se reserva el derecho a cancelar las cuentas que se hallen inactivas durante un periodo de tiempo no razonable y que aniversalia no asumirá responsabilidad alguna por la cancelación de su acceso al servicio”. SEXTO: Con fecha 22/09/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ANIVERSALIA, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

  1. b)del RGPD; finalizando dicho procedimiento con la emisión de una Resolución por parte de la Directora de la Agencia Española de Protección de Datos, en fecha 10/11/2021, por la que se imponía una multa administrativa de 2.000€ (dos mil euros) a ANIVERSALIA por una infracción del citado precepto. Asimismo, se le requería que, en el plazo de diez días hábiles desde la notificación de la resolución, acreditase ante este organismo la adopción de medidas para facilitar información a las personas cuyos datos personales recoge, conforme a lo previsto en el artículo 13 del RGPD. SÉPTIMO: Con fecha 15/09/2022, ANIVERSALIA interpuso un recurso de reposición contra la Providencia de Apremio dictada por la Directora de la Agencia Española de Protección de Datos el 21/07/2022 para la recaudación de la sanción por la Agencia Estatal de la Administración Tributaria en vía ejecutiva. En el escrito manifiesta, en síntesis, la obligación que a su entender tenía esta Agencia de practicar las notificaciones al representante de ANIVERSALIA, con la consiguiente indefensión (artículo 167.
  2. c)de la Ley General Tributaria). En fecha 18/11/2022, la Directora de la Agencia Española de Protección de Datos acordó estimar el recurso presentado y, por consiguiente, anular el procedimiento del que trae causa, PS/00346/2021. La resolución dictada no se fundamenta en el motivo de oposición alegado por ANIVERSALIA, sino en que “La AEPD al no tener constancia de una dirección de correo electrónico del sancionado donde comunicarle la puesta a disposición de la notificación electrónica, debería haber notificado la primera comunicación (acuerdo de inicio) en papel”, de conformidad con el artículo 43.2 del Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos. OCTAVO: Con fecha 24/03/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar el presente procedimiento sancionador, PS/00688/2022, a ANIVERSALIA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, fue entregado a ANIVERSALIA el 06/04/2023. NOVENO: Con fecha 21/04/2023, ANIVERSALIA presentó escrito, en tiempo y forma, ante esta Agencia en el que manifestaba lo siguiente: “[…] TERCERO.- En cuanto hemos recibido el presente requerimiento ps/688/2022, hemos procedido a cursar baja mediante la cancelación/eliminación de los datos personales, tal y como se puede observar, así mismo, ya constan cancelados en “Google”. (…) CUARTO.- Hasta la fecha no nos consta dicha solicitud de cancelación, por lo que ante dicha manifestación, estamos investigando el presente incidente, ya que no hay incidencias debido al sencillo proceso para cursar la eliminación y/o cancelación de los datos personales de los usuarios. QUINTO.- Sobre la política de privacidad conforme RGPD. En cuanto se nos ha informado por la AEPD, que la política de privacidad no está adecuada al RGPD, lo cierto es que se cumple con el contenido probado según artículo 12 y 13, salvo la mención legislativa, que procedemos a subsanar y ello es así, ya que el articulado utilizado en nuestra política de privacidad excedía de la legalidad en vigor con la LOPD 1999, siendo acorde con la posterior LOPD 2018 y RGPD 2016. Asimismo, ya veníamos cumpliendo con la aplicación del consentimiento expreso para tratar los datos personales de los usuarios, mediante un check para continuar. […]” Adjunta la siguiente documentación: - Captura de pantalla de lo que figuraba en su base de datos antes de la cancelación de los datos personales de la parte reclamante y después. - Capturas de pantalla del proceso de acceso al perfil de usuario y del mecanismo para “Darse de baja en Aniversalia”. DÉCIMO: Con fecha 10/05/2023, el órgano instructor del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, así como las alegaciones al acuerdo de inicio PS/00688/2022 presentadas por ANIVERSALIA y la documentación que a ellas acompaña. Asimismo, acordó comprobar el contenido de la Política de Privacidad de la página web https://www.aniversalia.com, habiendo accedido a la misma el 10/05/2023. UNDÉCIMO: Con fecha 12/09/2023, el órgano instructor elaboró una propuesta de resolución en la que se proponía sancionar con una multa de 2.000,00€ a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 ANIVERSALIA, por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  3. b)del RGPD. También, de conformidad con el artículo 58.2.
  4. d)del RGPD, se proponía que, en el plazo de diez días hábiles a contar desde la fecha en la que la resolución en que así lo acuerde le sea notificada, ANIVERSALIA acreditase haber procedido a actualizar la Política de Privacidad que figura en su página web, www.aniversalia.com, a la normativa vigente, en concreto, al artículo 13 del RGPD. La propuesta de resolución se puso a disposición de ANIVERSALIA a través de medios electrónicos el 12/09/2023, produciéndose el rechazo automático de la notificación el día 23/09/2023, según consta en el acuse de recibo que obra en el expediente. Con fecha 06/10/2023, ANIVERSALIA presentó escrito, en tiempo y forma, ante esta Agencia en el que manifestaba lo siguiente: “[…] Desconocemos la forma en la que la denunciante ha solicitado la cancelación de sus datos personales en la web “aniversalia” ya que hemos comprobado y no aparece ninguna solicitud de cancelación en el sistema, tampoco hemos recibido vía correo ninguna solicitud de cancelación de los datos, lo cierto es que aparece una dirección (…), dicho lo cual, debemos resaltar que el usuario puede darse de baja automáticamente desde la página web, el proceso para ello es (…). SEGUNDO.- Se ha procedido a actualizar la normativa aplicable y ampliar las direcciones de comunicación, dando cumplimiento al requerimiento de la AEPD, según el RGPD, no entendiendo las manifestaciones realizadas “difusas”, ya que no se realizan ninguno de los epígrafes manifestados, ni se trata los datos, ni se ceden, ni se conservan, una vez se dan de baja se borran. TERCERO.- Sobre la política de privacidad conforme RGPD. Tal y como ya hemos adelantado, en cuanto se nos ha informado por la AEPD, que la política de privacidad no está adecuada al RGPD, lo cierto es que se cumple con el contenido aprobado según artículo 12 y 13, salvo la mención legislativa, que procedemos a subsanar y ello es así, ya que el articulado utilizado en nuestra política de privacidad excedía de la legalidad en vigor con la LOPD 1999, siendo acorde con la posterior LOPD 2018 y RGPD 2016. Asimismo, ya veníamos comprimiendo con la aplicación del consentimiento expreso para tratar los datos personales de los usuarios, mediante un check para continuar. […] CUARTO.- A mayor abundamiento, el día 24 de julio de 2023, se ha procedido a dar de baja la web http://aniversalia.com por lo que damos por cumplido cualquier requerimiento realizado sobre el contenido de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 QUINTO.- En ningún momento el Aniversalia ha negado la cancelación de los datos del reclamante, no ha quedado acreditado que se haya recibido la solicitud de cancelación, ni su envío a la dirección reflejada en la web. No obstante, se cancelaron los datos personales del reclamante, es más, en julio de 2023 se ha procedido al cierre de la web, con el olvido. SEXTO.- En cuanto hemos recibido el presente requerimiento ps/688/2022, hemos procedido a cursar baja mediante la cancelación/eliminación de los datos personales, tal y como se puede observar, así mismo, ya constan cancelados en “Google”. (…)” Adjunta la siguiente documentación: - Copia de un correo electrónico, de fecha 24/07/2023 a las 14:00, con el asunto “RE: Datos”, en el que figura en copia B.B.B. ***EMAIL.1. - Captura de pantalla de la web aniversalia.com A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 14/04/2021, el contenido de la Política de Privacidad de la página web https://www.aniversalia.com es el siguiente: “1. LOPD En cumplimiento de lo establecido en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que los datos que nos facilite mediante la cumplimentación del presente formulario pasarán a formar parte de un fichero propiedad de ANIVERSALIA NETWORKS S.L. para la gestión de USUARIOS y a tenor de nuestra política de privacidad. Así mismo, le informamos que puede ejercer los derechos de acceso, rectificación, cancelación y oposición en la sede central de ANIVERSALIA NETWORKS S.L. Calle Alloza, 109 -, 12001 Castellón España. 2.Declaración de Privacidad de ANIVERSALIA En ANIVERSALIA nos comprometemos a proteger su privacidad. Puede visitar la mayoría de las páginas de nuestro sitio sin proporcionarnos ninguna información acerca de usted. Sin embargo, algunas veces necesitamos información para ofrecer los servicios solicitados y esta declaración de privacidad explica la recopilación de datos y su uso en esas situaciones. Esta declaración de privacidad sólo se aplica a ANIVERSALIA.com; no se aplica a otros productos, servicios o sitios de ANIVERSALIA disponibles con conexión o sin conexión. Lea la declaración de privacidad de ANIVERSALIA.com completa. Esta página web se dirige a mayores de 18 años. 3.Información Personal
  5. a)Recopilación de la información personal Cuando necesitemos información que le identifique personalmente (información personal) o que nos permita ponernos en contacto con usted, se la pediremos. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 información personal recopilada por ANIVERSALIA.com a menudo se limita a la dirección de correo electrónico, el idioma y el país o ubicación, aunque puede incluir otra información cuando sea necesaria para proporcionar el servicio solicitado. Por ejemplo: si elige un servicio o transacción que requiere un pago, como la realización de una compra, le pediremos información personal necesaria para la facturación y el envío, como por ejemplo: nombre, dirección, número de teléfono y número de tarjeta de crédito. Cuando compre un producto, podemos solicitarle que registre su compra de forma electrónica. Guardamos esta información junto con la información que ya nos ha proporcionado en anteriores visitas a nuestro sitio Web. ANIVERSALIA también recopila cierta información acerca del hardware y el software del equipo. Esta información puede incluir: la dirección IP, el tipo de explorador, el sistema operativo, el nombre de dominio, las horas de acceso y las direcciones de sitio Web de procedencia. Esta información se utiliza para el funcionamiento del servicio, con el fin de mantener su calidad y para proporcionar estadísticas generales acerca del uso de ANIVERSALIA.com. ANIVERSALIA también recopila información acerca de las páginas que nuestros USUARIOS visitan en ANIVERSALIA.com. Estos datos de visitas del sitio se identifican con un número de identificación exclusivo y nunca están relacionados con información personal a no ser que un usuario dé su consentimiento tal y como se describe a continuación.
  6. b)Uso de la información personal La información personal se utiliza con los siguientes propósitos: - Garantizar que el sitio se ajusta a sus necesidades. Proporcionar los servicios, como gestión de USUARIOS, boletines, eventos, información o servicios que usted ha solicitado o adquirido. Ayudarnos a crear y publicar contenido que sea relevante para usted. Alertarle acerca de actualizaciones de productos y servicios, ofertas especiales, información actualizada y otros nuevos servicios de ANIVERSALIA.com si así lo solicita. Permitirle tener acceso a áreas de entrada limitada de nuestro sitio según sea necesario. ANIVERSALIA puede revelar su información personal si así debe hacerlo por ley o si de buena fe cree que esa acción es necesaria para: (
  7. a)cumplir la ley o los mandatos de los procesos legales relacionados con ANIVERSALIA o el sitio; (
  8. b)proteger y defender los derechos de propiedad de ANIVERSALIA y su familia de sitios Web, o (
  9. c)actuar en circunstancias urgentes para proteger la seguridad personal de los empleados de ANIVERSALIA, de los usuarios de productos o servicios de ANIVERSALIA o de miembros del público. La información se puede almacenar y procesar en cualquier otro país en el que ANIVERSALIA o sus afiliados, partners o agentes tengan instalaciones. Al utilizar este sitio, da su consentimiento a tal transferencia de información fuera de su país. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 ANIVERSALIA se somete al marco de la LOPD y la LSSI así como de los países que tienen legislaciones similares a la española.
  10. c)Control de la información personal Cuando se registra o nos proporciona información personal, ANIVERSALIA no comparte esa información con terceros sin su permiso, a no ser por las excepciones limitadas que ya se han indicado. Sólo se utilizará con los propósitos mencionados anteriormente. ANIVERSALIA puede enviar periódicamente correos electrónicos con información acerca de temas de seguridad o de servicio técnico de un producto o servicio solicitado, o como confirmación de la solicitud de un producto o servicio. No podrá cancelar la suscripción a estos mensajes ya que se consideran una parte esencial del servicio elegido.” SEGUNDO: En fecha 15/09/2022, el contenido de la Política de Privacidad de la página web https://www.aniversalia.com es idéntico al señalado en el apartado anterior. TERCERO: En fecha 10/05/2023, el contenido de la Política de Privacidad de la página web https://www.aniversalia.com es el siguiente: “1. LOPD En cumplimiento de lo establecido en el REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016, le informamos que los datos que nos facilite mediante la cumplimentación del presente formulario pasarán a formar parte de un fichero propiedad de ANIVERSALIA NETWORKS S.L. para la gestión de USUARIOS y a tenor de nuestra política de privacidad. Así mismo, le informamos que puede ejercer los derechos de acceso, rectificación, cancelación y oposición, así como los demás derechos que recoge el citado reglamento, para lo cual debe dirigirse a en la sede central de ANIVERSALIA NETWORKS S.L. Calle Alloza, 109 -, 12001 Castellón España. Adjuntando fotocopia del documento acreditativo de identidad o bien por correo electrónico a datos@aniversalia.com. 2.Declaración de Privacidad de ANIVERSALIA En ANIVERSALIA nos comprometemos a proteger su privacidad. Puede visitar la mayoría de las páginas de nuestro sitio sin proporcionarnos ninguna información acerca de usted. Sin embargo, algunas veces necesitamos información para ofrecer los servicios solicitados y esta declaración de privacidad explica la recopilación de datos y su uso en esas situaciones. Esta declaración de privacidad sólo se aplica a ANIVERSALIA.com; no se aplica a otros productos, servicios o sitios de ANIVERSALIA disponibles con conexión o sin conexión. Lea la declaración de privacidad de ANIVERSALIA.com completa. Esta página web se dirige a mayores de 18 años. 3.Información Personal
  11. a)Recopilación de la información personal Cuando necesitemos información que le identifique personalmente (información personal) o que nos permita ponernos en contacto con usted, se la pediremos. La información personal recopilada por ANIVERSALIA.com a menudo se limita a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 dirección de correo electrónico, el idioma y el país o ubicación, aunque puede incluir otra información cuando sea necesaria para proporcionar el servicio solicitado. Por ejemplo: si elige un servicio o transacción que requiere un pago, como la realización de una compra, le pediremos información personal necesaria para la facturación y el envío, como por ejemplo: nombre, dirección, número de teléfono y número de tarjeta de crédito. Cuando compre un producto, podemos solicitarle que registre su compra de forma electrónica. Guardamos esta información junto con la información que ya nos ha proporcionado en anteriores visitas a nuestro sitio Web. ANIVERSALIA también recopila cierta información acerca del hardware y el software del equipo. Esta información puede incluir: la dirección IP, el tipo de explorador, el sistema operativo, el nombre de dominio, las horas de acceso y las direcciones de sitio Web de procedencia. Esta información se utiliza para el funcionamiento del servicio, con el fin de mantener su calidad y para proporcionar estadísticas generales acerca del uso de ANIVERSALIA.com. ANIVERSALIA también recopila información acerca de las páginas que nuestros USUARIOS visitan en ANIVERSALIA.com. Estos datos de visitas del sitio se identifican con un número de identificación exclusivo y nunca están relacionados con información personal a no ser que un usuario dé su consentimiento tal y como se describe a continuación.
  12. b)Uso de la información personal La información personal se utiliza con los siguientes propósitos: - Garantizar que el sitio se ajusta a sus necesidades. Proporcionar los servicios, como gestión de USUARIOS, boletines, eventos, información o servicios que usted ha solicitado o adquirido. Ayudarnos a crear y publicar contenido que sea relevante para usted. Alertarle acerca de actualizaciones de productos y servicios, ofertas especiales, información actualizada y otros nuevos servicios de ANIVERSALIA.com si así lo solicita. Permitirle tener acceso a áreas de entrada limitada de nuestro sitio según sea necesario. ANIVERSALIA puede revelar su información personal si así debe hacerlo por ley o si de buena fe cree que esa acción es necesaria para: (
  13. a)cumplir la ley o los mandatos de los procesos legales relacionados con ANIVERSALIA o el sitio; (
  14. b)proteger y defender los derechos de propiedad de ANIVERSALIA y su familia de sitios Web, o (
  15. c)actuar en circunstancias urgentes para proteger la seguridad personal de los empleados de ANIVERSALIA, de los usuarios de productos o servicios de ANIVERSALIA o de miembros del público. La información se puede almacenar y procesar en cualquier otro país en el que ANIVERSALIA o sus afiliados, partners o agentes tengan instalaciones. Al utilizar este sitio, da su consentimiento a tal transferencia de información fuera de su país. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 ANIVERSALIA se somete al marco de la LOPD y la LSSI así como de los países que tienen legislaciones similares a la española.
  16. c)Control de la información personal Cuando se registra o nos proporciona información personal, ANIVERSALIA no comparte esa información con terceros sin su permiso, a no ser por las excepciones limitadas que ya se han indicado. Sólo se utilizará con los propósitos mencionados anteriormente. ANIVERSALIA puede enviar periódicamente correos electrónicos con información acerca de temas de seguridad o de servicio técnico de un producto o servicio solicitado, o como confirmación de la solicitud de un producto o servicio. No podrá cancelar la suscripción a estos mensajes ya que se consideran una parte esencial del servicio elegido.
  17. d)Acceso a la información personal Se le proporcionarán los medios para garantizar que su información personal es correcta y está actualizada.
  18. e)Seguridad de la información personal ANIVERSALIA se compromete a proteger la seguridad de su información personal. Utilizamos varias tecnologías y procedimientos de seguridad para proteger su información personal de acceso, uso o divulgación sin autorización. Por ejemplo, almacenamos la información personal proporcionada en servidores con acceso limitado que se encuentran en instalaciones controladas. Cuando transmitimos la información importante (como los números de las tarjetas de crédito) por Internet, la protegemos cifrándola con protocolos como el Nivel de socket seguro (SSL).” LE informamos que ANIVERSALIA podrá facilitar información personal a las autoridades competentes cuando sea requerido para ello, conforme a la legislación vigente.” CUARTO: Consta identificado como responsable del sitio web www.aniversalia.com ANIVERSALIA NETWORKS, S.L., con NIF QUINTO: En fecha 24/07/2023, la entidad representante de ANIVERSALIA recibe un correo electrónico en la dirección ***EMAIL.1, con el siguiente contenido: “Hola C.C.C., Lo que se ha realizado es dar de baja la página web. Se puede ver en: http://aniversalia.com/. Ya no aparecen datos de usuarios. Si se busca en Google siguen apareciendo, pero esto se eliminará en cuanto Google vuelva a reindexar aniversalia.com y no encuentre dichas páginas. Si entras en el buscador (…) y pulsas en los enlaces verás como da error. No sé muy bien como se lo queréis comunicar a los usuarios que os piden la baja. Saludos. D.D.D.” SEXTO: En la actualidad, consta probado que al acceder al sitio web aniversalia.com aparece el siguiente mensaje: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 “¡Aniversalia se despide! Lamentamos informar que la Página web Aniversalia ha cerrado. Agradecemos a todos nuestros usuarios por su apoyo y lealtad a lo largo de los años. Si tienes alguna pregunta o inquietud, puedes encontrarnos en la siguiente ubicación: Dirección: Ronda Mijares, I I, C.P.: 12001, Castellón, España” FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”. El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. Por lo tanto, de conformidad con las definiciones anteriores, consta la realización de un tratamiento de datos personales, toda vez que ANIVERSALIA recoge datos personales, por medio de los formularios de contacto y de registro que figuran en su página web www.aniversalia.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procedió a dar respuesta a las mismas. En primer lugar, ANIVERSALIA alega no haber recibido ninguna solicitud de cancelación de datos personales por la parte reclamante, pero ha procedido a darle de baja como usuario. Aporta captura de pantalla que prueba la baja cursada en su sistema en relación con los datos personales de la parte reclamante. Al respecto, esta Agencia desea recordar a ANIVERSALIA que, precisamente, los hechos denunciados por la parte reclamante tienen que ver con la falta de información a la hora de poder ejercer sus derechos en materia de protección de datos de carácter personal. Es por ello que, no ha podido recibir ninguna solicitud de supresión por la parte reclamante al no saber ante quién o cómo proceder. En segundo lugar, ANIVERSALIA alega haber adecuado la Política de Privacidad de la página web a la normativa vigente, modificando la mención legislativa de la LOPD; sin perjuicio de que el contenido sí que cumple con la normativa vigente. Al respecto, esta Agencia desea señalar que ANIVERSALIA, como responsable de tratamiento, está obligada a proporcionar a sus usuarios toda la información enumerada en el artículo 13 del RGPD. Si bien es cierto que ha sustituido en la Política de Privacidad la mención a la LOPD por la del RGPD, el contenido no detalla punto por punto las cuestiones que comprende el deber de información del citado precepto. La información que consta en el apartado “Aviso legal y Política de privacidad” del sitio web en cuestión es bastante difusa, ya que no es concisa en las cuestiones que ha de recoger cada epígrafe. En concreto, no informa detalladamente sobre la identidad del responsable del tratamiento, ni sobre los destinatarios de los datos recabados en caso de cesión o comunicación. Y, es más, no menciona ni el plazo de conservación de los datos recabados, ni la base jurídica que legitima dicho tratamiento. En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas. ANIVERSALIA recalca que no ha recibido ninguna solicitud de cancelación de la parte reclamante y que ha procedido a adecuar la mención legislativa de la Política de Privacidad a la normativa vigente, sin perjuicio de que el contenido sí que cumple con la misma. Al respecto, esta Agencia se reitera en su respuesta a las alegaciones presentadas al acuerdo de inicio del presente procedimiento sancionador. Por otro lado, ANIVERSALIA alega que en el mes de julio de 2023 ha procedido a dar de baja la página web http://aniversalia.com y, como prueba, aporta captura de pantalla de la búsqueda realizada en internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 Al respecto, esta Agencia desea señalar que, efectivamente, la web en cuestión se encuentra inoperativa. No obstante, durante el periodo en el que se tenía acceso a la misma la entidad recogía datos personales a través de sus formularios de contacto y de registro y, al realizar dicho tratamiento, estaba obligada a informar a sus usuarios de todas las cuestiones enumeradas en el artículo 13 del RGPD. Asimismo, esta Agencia desea recordar que la adopción de medidas no supone la subsanación de la conducta infractora del citado artículo. Pues, resulta evidente que, antes de que se iniciara el procedimiento sancionador, ANIVERSALIA no cumplía con su obligación de informar correctamente a sus clientes. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ANIVERSALIA, por vulneración del artículo 13 del RGPD. IV Transparencia en el tratamiento de datos personales El tratamiento debe estar presidido por los principios que relaciona el artículo 5 del RGPD, que dispone: “Los datos personales serán:
  19. a)Tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)”. Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando estos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  20. a)La identidad y los datos de contacto del responsable y, en su caso, de su representante;
  21. b)los datos de contacto del delegado de protección de datos, en su caso;
  22. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  23. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  24. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18
  25. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  26. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  27. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  28. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  29. d)el derecho a presentar una reclamación ante una autoridad de control;
  30. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  31. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.” V Tipificación y calificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD supone la comisión de una infracción tipificada en el artículo 83.5.
  32. b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  33. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A los meros efectos de prescripción, el artículo 72.1
  34. h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la LOPDGDD es de tres años. VI Sanción por la infracción del artículo 13 del RGPD Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  35. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 En el presente caso, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  36. a)a
  37. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  38. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  39. b)la intencionalidad o negligencia en la infracción;
  40. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  41. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  42. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  43. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  44. g)las categorías de los datos de carácter personal afectados por la infracción;
  45. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  46. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  47. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  48. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  49. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  50. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  51. a)El carácter continuado de la infracción.
  52. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  53. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  54. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  55. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  56. f)La afectación a los derechos de los menores
  57. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  58. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas permite imponer una multa de 2.000,00€ (dos mil euros) por la infracción del artículo 13 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ANIVERSALIA NETWORKS, S.L., con NIF B12535183, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  59. b)del RGPD, una multa de 2.000,00€ (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a ANIVERSALIA NETWORKS, S.L.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  60. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  61. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.