1/6 Procedimiento nº.: E/06537/2021 ASUNTO: Recurso de Reposición Nº RR/00593/2021 Examinado el recurso de reposición interpuesto por FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06537/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 12 de agosto de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/06537/2021, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 13 de agosto de 2021, según aviso de recibo que figura en el expediente. SEGUNDO: FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 9 de septiembre de 2021, recurso de reposición, fundamentándolo básicamente en que se ha archivado el expediente al no haber podido identificar al responsable de la presunta infracción, cuando los ahora recurrentes presentaron documentación que acreditaba que no se podía identificar al responsable de la página web ya que no se incluía su nombre ni denominación social ni el número de identificación fiscal del titular de la página. Solicitan que se obligue a contestar a Shopify y se sancione al responsable de la página denunciada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Los hechos denunciados se concretaban en que el sitio web SLIIMWOMEN.MYSHOPIFY.COM, carece de una política de privacidad adaptada a lo previsto en el artículo 13 del RGPD y, en particular, no identifica al responsable. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ En fecha 24 de junio de 2021 se ha requerido a SHOPIFY INTERNATIONAL LIMITED para que aportase la siguiente información relativa al responsable de la web https://sliimwomen.myshopify.com/ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 1. Identidad del responsable de la citada web 2. Número de identificación fiscal 3. Dirección postal de la persona física o jurídica 4. Número de teléfono de contacto ~ Ese mismo día se recibió respuesta de Shopify en el que indican que Lamentablemente sliimwomen.myshopify.com tiene una dirección registrada en Francia, que está fuera de la jurisdicción territorial de España. Como se explica a continuación, necesitamos una orden emitida o domiciliada en Francia o de un tribunal con jurisdicción general sobre Shopify Inc. para proporcionar la información solicitada. De acuerdo con las leyes de privacidad canadienses y nuestro acuerdo con nuestros comerciantes, Shopify no puede divulgar información personal sin el conocimiento o consentimiento de la persona en cuestión, excepto en ciertas circunstancias. Una de esas circunstancias es si se requiere que Shopify cumpla con una citación, orden judicial u orden emitida por un tribunal, persona u organismo con jurisdicción para obligar a la producción de información o para cumplir con las reglas de la corte relacionadas con la producción de registros. Como explican nuestras Directrices sobre solicitudes legales de información, la jurisdicción se define territorialmente y, como tal: "Una entidad de Shopify puede responder a solicitudes emitidas por tribunales o autoridades en el país en el que se encuentra la entidad de Shopify" o "Una entidad de Shopify también puede responder a una orden judicial de una autoridad en la misma jurisdicción que el comerciante”. En consecuencia, requerimos uno de los siguientes: 1. Una orden de una autoridad en la misma jurisdicción que el comerciante (s); o 2. Una orden de un tribunal con jurisdicción general sobre Shopify Inc. para cualquier comerciante; o 3. Una orden de un tribunal con jurisdicción general sobre Shopify International Limited si el comerciante se encuentra en Europa, Oriente Medio, África, América del Sur o América Central; o 4. Una orden de un tribunal con jurisdicción general sobre Shopify Commerce Pty Ltd. si el comerciante se encuentra en la región de Asia-Pacífico.” ~Con fecha 30 de junio de 2021 se comprobó que la página https://sliimwomen.myshopify.com/ ya no estaba accesible. III La actuación denunciada incumplía el artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el resC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 ponsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 5.1.
- a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]” Por su parte, el Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. IV La LOPDGDD, en su artículo 67 indica: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica”. Todas las actuaciones practicadas se realizaron en cumplimiento de lo establecido legalmente, y con la finalidad de determinar, con la mayor precisión posible, las circunstancias relevantes que pudieran concurrir en el caso, en particular la identificación del responsable de la infracción del artículo 13 del RGPD, que sería el titular de la página web denunciada. Esta investigación resultó infructuosa, por más que no se dudase de la infracción cometida. Para poder iniciar un procedimiento sancionador, debemos haber identificado al presunto responsable, lo que no se consiguió durante las actuaciones investigadoras realizadas. Ese es el motivo del archivo de dichas actuaciones, a lo que se añadió que la página objeto de reclamación había desaparecido. El recurso indica que la infracción existe y no ha prescrito, lo cual no se ha puesto en cuestión. El problema es que no se ha identificado al presunto infractor. No se han aportado nuevas pruebas ni manifestaciones distintas de las ya expuestas en el expediente de investigación archivado, por lo que no procede estimar el recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FACUA ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN contra la resolución de esta Agencia dictada con fecha 12 de agosto de 2021, en el expediente de actuaciones previas de inspección E/06537/2021. SEGUNDO: NOTIFICAR la presente resolución a FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-100820 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es