1/7 Procedimiento Nº.: PS/00163/2021 Recurso de Reposición Nº RR/00699/2021 Examinado el recurso de reposición interpuesto por la entidad BEEPING FULFILMENT S.L., con CIF.: B40617318, titular de la página web, ***URL.1 (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento, PS/00104/2021, por vulneración a lo estipulado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes: HECHOS PRIMERO: Con fecha 15/10/21, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador, PS/00163/2021, contra la entidad BEEPING FULFILMENT S.L., titular de la página web, ***URL.1 imponiéndola una sanción de 2.000 euros, (dos mil euros), por la infracción del artículo de artículo 13 del RGPD, al no poseer la web de su titularidad, durante el tiempo que estuvo operativa, la información necesaria sobre el responsable del tratamiento de datos y sobre la gestión que se realizaba de los mismos, archivando el procedimiento sancionador en lo referente a la infracción de artículo 22.2 de la LSSI, en relación con la política de SEGUNDO: Con fecha 11/11/21, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la entidad BEEPING FULFILMENT S.L, en el cual, entre otra, se alega que: “PRIMERA.- Tal y como recoge la AEPD en la propuesta de resolución el día 04/06/20, se realizaron comprobaciones en la página web indicando que la “ 2 política de privacidad, donde entre otra, se proporciona información sobre, la finalidad del tratamiento de datos personales; sobre el consentimiento, sobre la divulgación; sobre los servicios de terceras partes, sobre la seguridad sobre la política de cookies y sobre el tiempo de utilización de los datos”. “Consta un apartado relativo al “consentimiento” informado de que: los datos personales serán utilizados para completar una transacción, verificar tu tarjeta de crédito, crear una orden, concertar un envío o hacer una devolución, implicamos que aceptas la recolección y uso por esa razón especifica solamente. Si te pedimos tu información personal por una razón secundaria, como marketing, te pediremos directamente tu expreso consentimiento, o te daremos la oportunidad de negarte”. Es por ello por lo que esta parte no entiende como se está intentando sancionar a una empresa cuando la propia AEPD en su propuesta reconoce que sí que existe información relativa al artículo 13 objeto de discusión. En todo momento la empresa ha tenido visible tanto la finalidad como la necesidad de tener un consentimiento expreso y la dirección de correo donde se podía retirar el mismo. A mayor abundamiento, el día 22 de junio de 2020 la sociedad envío informe detallado de toda la docuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 mentación e información relativa a la política de privacidad y protección de datos como se puede observar en la propia resolución. SEGUNDA.- En lo concerniente a la alegación que establece la AEPD en la resolución donde dice “PRIMERO: SANCIONAR (…) al no poseer la web en cuestión de la información necesaria sobre la finalidad y gestión de los datos personales obtenidos en la misma durante el tiempo que estuvo activa” no da lugar , ya que es la propia AEPD la que afirma que sí que existe información relativa a las políticas de privacidad. Además del propio reconocimiento, la empresa aportó a requerimiento de la Agencia un desglose minucioso de las políticas de privacidad que estaban vigentes durante el tiempo que la web estuvo activa. TERCERA.- Como se pude desprender de las actuaciones realizadas, el día 22/06/20, “la entidad reclamada remite a esta Agencia la siguiente información y manifestaciones:
- Que el sitio web ***URL.1 ha cesado a fecha actual su actividad comercial, no siendo posible la compra de productos. Únicamente se ofrece la posibilidad de ponerse en contacto con el servicio de atención al cliente pasa hacer seguimiento de los productos adquiridos y que no se hayan recibido”. En ese momento ya se manifestó la inactividad de la página web y, por ende, la empresa no realizaba ningún tipo de tratamiento de datos. CUARTA.- Cabe recordar, que a tenor del artículo 13 del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016, establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado “
- Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación”, por lo tanto, si la web estaba inactiva y los usuarios no podían proporcionar ningún tipo de dato, no era necesario facilitar toda la información que sí que estaba puesta previamente durante la actividad de la página web. Es por ello por lo que no cabe aplicar la sanción que pretende imponer la AEPD ya que la empresa dejo claramente que la página web estaba inactiva, no existiendo ningún tratamiento de datos personales. Esta parte ha colaborado en todo momento con la AEPD con el fin de solventar todas aquellas dudas que han venido surgiendo a lo largo del procedimiento, por ello, volvemos a requerir a la Directora del a Agencia Española de Protección de Datos mediante el presente recurso, que tenga en consideración la buena fe de la empresa, las alegaciones del presente escrito, así como toda la información que se ha presentado y preparado a lo largo del procedimiento, y sirva el presente recurso de reposición para revisar y modificar el fallo de las actuaciones. Entendemos que se están llevando unas actuaciones que perjudican gravemente los intereses de mi representado sin causa justificada. Si no es a través del presente recurso, continuaremos con los trámites judiciales necesarios con el único objetivo de aplicar la ley conforme a derecho. Por todo lo expuesto, SOLICITO que se tenga por presentado en tiempo y forma las alegaciones concernientes al Procedimiento Nº PS/00163/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 SOLICITO SEGUNDO.- Que se dé por finalizado el expediente sancionador sin sanción alguna al haber quedado debidamente demostrado que durante el periodo que estuvo activa la página web, la compañía tenía disponible y accesible para todos los usuarios tanto las políticas de protección de datos como la dirección donde podían retirar su consentimiento tal y como manifestó la propia AEPD en sus alegaciones”. HECHOS PROBADOS A lo largo del procedimiento sancionador PS/163/2021, se pudo constatar, respecto de la “Política de Privacidad”, desarrollada por la página web ***URL.1, los siguientes acontecimientos: 1º.- El día 09/04/20, se constató que existía un formulario de contacto en la url: ***URL.2 , donde se podían introducir datos personales de los usuarios como el nombre, el correo electrónico, el número de teléfono. En la “Política de Privacidad” de la web, accesible desde la página principal ***URL.3 , se proporcionaba la siguiente información: Sección 1.- la finalidad del tratamiento de datos personales; Sección 2.- Sobre el consentimiento; Sección 3.- Sobre la divulgación; Sección 4.- Sobre Shopify; Sección 5.- Sobre los servicios de terceras partes; Sección 6.- Sobre la seguridad; Sección 7.- Sobre la política de cookies; Sección 8.Cambios en la Política de Privacidad, No obstante, en dicha página no existía información sobre la identidad del responsable del tratamiento de los datos personales obtenidos a través del enlace de contacto. Tampoco constaba ninguna referencia o apartado relativo a los derechos que asisten a los usuarios respecto de la gestión de sus datos personales. En su lugar solo se proporcionaba la siguiente información: “Sobre Nosotros: InnovaLab - ***DIRECCIÓN.1 Solo atendemos e-mails durante Covid19”. 2º.- Antes de incoar el expediente sancionador, en el periodo de investigación previa, la entidad manifestó a esta Agencia que, el sitio web ***URL.1 había cesado su actividad comercial, no siendo posible la compra de productos y únicamente se ofrecía la posibilidad de ponerse en contacto con el servicio de atención al cliente para el seguimiento de los productos adquiridos y que aún no se hubieran recibido y que la “Política de Privacidad” se encontraba accesible a los usuarios en el “footer” del sitio web. 3º.- Con el objeto de corroborar lo indicado por la entidad, se volvió a consultar la página web, constatando que, al acceder a la misma, se desplegaba un banner con la siguiente información: “Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: ***EMAIL.1”, No obstante, se pudo constatar que se podía seguir obteniendo datos personales de los usuarios de la página, a través del envío de correos electrónicos al responsable, y a través del enlace existente, <<submit>>, introduciendo la dirección de correo electrónico del usuario al darse de alta en la opción: “Be the first to know when we launch”. Pero a pesar de todo ello, no existía ninguna información sobre la “Política de Privacidad” utilizada en esta nueva página. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 4.- Por todo ello, se inició un procedimiento sancionador a la entidad, que al recibir el acuerdo de inicio del presentó alegaciones y con el objeto de corroborar lo indicado por la entidad, se volvió a consultar la página web, constatando que, al acceder a la misma, se desplegaba un banner con la siguiente información Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: ***EMAIL.1 “Be the first to know when we launch”. <<correo electrónico>> “Submit” Spread the word Compartir en Facebook, Twitter Pinterest Esta tienda contará con tecnología Shopify Volviendo a constatar que la web podía obtener datos personales de los usuarios a través del envío de correos electrónicos al responsable de la página a la dirección:***EMAIL.1, así como introduciendo la dirección del correo electrónico en el enlace <<submit>>, para darse de alta en la opción de: “Be the first to know when we launch”. A pesar de todo ello, seguía sin existir ningún enlace a la “Política de Privacidad” de la página web. 5º.- Notificada la Propuesta de Resolución, la entidad reclamada manifestó que había eliminado definitivamente la página web y en su lugar, existía el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: A lo largo del procedimiento sancionador, se pudo constatar las siguientes características en la “Política de Privacidad” de la página web: ***URL.4 (***URL.3 ): 1º.- Constaba un formulario de contacto en la url: ***URL.2, donde se podían introducir datos personales como el nombre, correo electrónico, número de teléfono y mensaje. En la “Política de Privacidad” de la web se proporcionaba información sobre: Sección 1.- la finalidad del tratamiento de datos personales; Sección 2.- Sobre el consentimiento; Sección 3.- Sobre la divulgación; Sección 4.- Sobre Shopify; Sección 5.- Sobre los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 servicios de terceras partes; Sección 6.- Sobre la seguridad; Sección 7.- Sobre la política de cookies; Sección 8.- Cambios en la Política de Privacidad, No obstante, en dicha página no existía información suficiente sobre el responsable del tratamiento de los datos personales obtenidos a través del enlace ***URL.
- Tampoco constaba ninguna referencia o apartado relativo a derechos de los usuarios respecto de la gestión de sus datos personales. Solo se indicaba, respecto de lo anterior, lo siguiente: “Sobre Nosotros: InnovaLab - ***DIRECCIÓN.1 - Solo atendemos e- mails durante Covid19” La entidad BEEPING FULFILMENT S.L., en el marco de las actuaciones previas realizadas por esta Agencia, indicó, entre otras, que el sitio web ***URL.1 había cesado su actividad comercial, no siendo posible la compra de más productos y únicamente se ofrecía la posibilidad de ponerse en contacto con el servicio de atención al cliente para hacer el seguimiento de los productos adquiridos y que no hubieran sido aún recibidos. Con el objeto de corroborar las afirmaciones hechas por la entidad, se comprobó que, al acceder la web ***URL.4, ésta redirigía al usuario a la página ***URL.5 , donde se desplegaba el siguiente banner: “Innovation Lab Opening Soon Tienda inactiva, contestamos a tus consultas en: ***EMAIL.1”, constatando que, aunque la página web estuviera inactiva, según afirmación hecha por la entidad, el responsable de la misma podía seguir obteniendo datos personales de los usuarios que, a través del correo electrónico ***EMAIL.1, se ponían en contacto con él. Además de ello, se pudo comprobar que también existía la posibilidad de obtener datos personales de los usuarios, a través de la opción <<submit>> e introduciendo la dirección de correo electrónico, para darse de alta en la opción: “Be the first to know when we launch”. (Sé el primero en saber cuándo lanzamos). Pese a que la página web ***URL.4, (***URL.5) podía seguir obteniendo datos personales de los usuarios a la mismas, se pudo constatar que no existía “Política de Privacidad” en la misma, o información de la gestión que se realizaría con los datos personales obtenidos. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Por todo ello, el 27/04/21, se inició procedimiento sancionador a la entidad BEEPING FULFILMENT S.L., titular de la página web, ***URL.1 (***URL.5 ), por la infracción del artículo 13 del RGPD, al carecer, en un principio, cuando existía solamente la página, ***URL.1 de la información requerida en su política de privacidad con respecto a lo establecido en el artículo 13 del RGPD y después, cuando la página redirigía a dirección, ***URL.5 , por la inexistencia de “Política de Privacidad” o información sobre la gestión de los datos personales obtenidos. Una vez iniciado el procedimiento sancionador, en las alegaciones a la Propuesta de Resolución, la entidad afirmó que la página ***URL.1 (***URL.5) había sido totalmente eliminada, corroborando que, en su lugar, se desplegaba el siguiente mensaje: “Esta página no está disponible en la web porque el acceso está prohibido”. No obstante, pese a ello, se pudo constatar que, al menos, desde que se recibe la reclamación, el 09/04/20, hasta que la entidad afirma que elimina definitivamente la página, el 19/08/21, 1 año, 4 meses y 10 días después, estuvo incumpliendo lo establecido en el artículo 13 del RGPD, en lo que respecta a la información que se debe proporcionar a los usuarios cuando se obtienen los datos personales de ellos. Por tal motivo, con fecha 15/10/21, se impuso a la entidad, BEEPING FULFILMENT S.L. titular de la página web, ***URL.1 (***URL.5), una sanción de 2.000 euros, (dos mil euros), por el tiempo que estuvo incumpliendo lo establecido en el artículo 13 del RGPD. Por tanto, de las alegaciones presentadas por el recurrente en el escrito de recurso de reposición, la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BEEPING FULFILMENT S.L. con CIF.: B40617318, titular de la página web, ***URL.1 contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos el 15/10/21, en el procedimiento, PS/00104/2021 SEGUNDO: NOTIFICAR la presente resolución a la entidad BEEPING FULFILMENT S.L. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos, Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es