← España

REPOSICION-PS-00173-2022

1/6  Expediente N.º: EXP202105347 (RR/00696/2022) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la entidad UNIQUEDESIGN & DECOR, S.L., con CIF.: B87754438 titular de la página web https://www.uniquedesigndecor.com/ (en lo sucesivo la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 28/09/22, en el procedimiento sancionador PS/00173/2022 y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 28/09/22 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00173/2022, en virtud de la cual se imponía a la entidad reclamada una sanción de 5.000 euros (cinco mil euros) por la infracción del artículo 13 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), respecto a la falta de información proporcionada a los interesados en el momento de obtener sus datos personales a través de su página web, y calificadas de muy grave en el artículo 72.1.

  1. h)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada a la parte recurrente en fecha 06/11/22, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/ 00173/2022, quedó constancia de los siguientes: Primero: En las comprobaciones realizadas por esta Agencia en la página web https://www.uniquedesigndecor.com , tanto el día 08/06/22 como el día 14/07/22 después de que la persona responsable de la página indicara a esta Agencia haber subsanado los defectos en la misma se sigue comprobando que si se intenta acceder a la “Política de Privacidad” de la web, cliqueando en la opción, la web no despliega ningún documento que contenga información sobre la política de privacidad. Solamente se despliega el formulario de contacto. No existe en la página ningún otro enlace a una posible “Política de Privacidad”. Segundo: Tras la notificación de la propuesta de resolución y haber recibió el escrito de alegaciones de la parte reclamada indicando la subsanación de las deficiencias en la “Política de Privacidad” de la página web, se accedió a la misma comprobando las siguientes irregularidades: No existe identificación del responsable de la web; No existe información sobre el consentimiento prestado por los usuarios de la web; No existe información sobre la legitimación del tratamiento de los datos personales; No existe información sobre los posibles destinatarios con quien compartirán los datos; No existe información sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 tiempo de conservación de los datos personales; No existe información sobre la posibilidad de interponer una reclamación ante la AEPD. TERCERO: Con fecha 06/11/22, se recibe en esta Agencia escrito de recurso de reposición en el que se indica lo siguiente: 1.-Que con fecha 20/10/2021 tuvo entrada en dicha Agencia un escrito presentado por una reclamante en el que se establecía que un usuario apodado Rosa supuestamente la representante hecho no demostrado había publicado el 22/10/2021 un mensaje accesible al público con nombre y apellido de la Demandada , presentándose este escrito con anterioridad a que se produjera, se presenta el día 20 y los hechos según la demandante tienen lugar el día 22 por lo que ya se puede comprobar la mala intencionalidad de la misma No obstante y tal y como se demuestra en las alegaciones anteriores a este recurso de reposición el hecho quedó subsanado inmediatamente hecho que pudo verificar la Agencia Española de Protección de Datos 2.- Dicha demandante estableció que adicionalmente la empresa Uniquedesign & Decor S.L no cumplía con la correspondiente política de privacidad según las obligaciones dispuestas en el artículo 13 de RGPD , en siguientes alegaciones se comunicó que se trataba de un desconocimiento por mi parte al haber contratado una página que hacía páginas web concretamente wix.com por la cual la empresa paga una suscripción anual pensaba que está se encargaba de la actualización de todos esos datos , y teniendo además una empresa externa que se encargaba de todo el tema de la protección de datos estaría todo al corriente, al recibir el procedimiento sancionador refiriéndose a las cookies me movilice y hablé con dicha empresa la cual me comunico que eso era cosa de wix.com procedí a establecer los cookies investigando en internet como hacerlo, a estas alegaciones me contestarían que faltaba la política de privacidad , otra vez de vuelta a movilizarme como vi que esta empresa externa no fue efectiva contrate otra , adjunte todas las facturas de los costes que me ha supuesto intentar solucionar este tema , otra vez el mismo hecho tuve que indagar en internet para ver cómo establecer una política de protección de datos y lo hice, a esta nueva alegación me contestan con las siguientes irregularidades No existe identificación del responsable de la web; No existe información sobre el consentimiento prestado por los usuarios de la web; No existe información sobre la legitimación del tratamiento de los datos personales; No existe información sobre los posibles destinatarios con quien compartirán los datos; No existe información sobre el tiempo de conservación de los datos personales; No existe información sobre la posibilidad de interponer una reclamación ante la AEPD I.- Creo que se ha podido verificar que no ha sido un hecho intencionado ya que en el momento de la demanda la empresa ya contaba con una empresa encargada de tener la empresa en el cumplimiento de la LGPD. 2.- Se ha intentado en todas las alegaciones solucionar estos hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 3.- No se trata por tanto de un desconocimiento de la ley ya que la empresa según ley contrato no una sino dos empresas externas para realizar todo lo referente a la Protección de Datos (se adjunta factura en la alegación). FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas en el recurso, que reiteran básicamente las ya realizadas en lo escritos de alegaciones presentados en el transcurso del trámite del procedimiento sancionados PS/00173/2022, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes, y que se transcriben a continuación: Primero: Con fecha 14/07/22, por parte de esta Agencia se accede a la página web, https://www.uniquedesigndecor.com constatando que en la misma no existía ningún documento que contuviera información sobre la política de privacidad, aun comprobando que, a través de ésta, se podía obtener datos personales de los usuarios a través del formulario de contacto. Segundo: Con fecha 03/08/22, una vez iniciado el procedimiento sancionador PS/ 00173/2022 por los hechos indicados en el punto anterior, la entidad ahora recurrente, UNIQUEDESIGN & DECOR, S.L., manifestó a esta Agencia lo siguiente: “Fruto de los alarmantes requerimientos efectuados por la AEPD se ha procedido a contratar un servicio profesional en materia de protección de datos pues es nuestra intención revisar y corregir cualquier posible incidencia no detectada por la antigua empresa de Protección de Datos. La página web debería haber estado supervisada y actualizada por la empresa que en su momento fue contratada para los aspectos de protección de datos y aparentemente no le han dado el oportuno seguimiento. A la vista de la reclamación hemos procedido a contratar a un despacho profesional en esta materia mediante cuyo asesoramiento se está procediendo a la revisión y corrección de cualquier posible incidencia. En breve estaremos en disposición de informar sobre las nuevas medidas adoptadas para dar cumplimiento al Reglamento General de Protección de Datos en el sitio web en particular y en la empresa en general”. Tercero: Pues bien, con fecha 26/09/22, un mes y 23 días después de que la entidad recurrente manifestara su compromiso para solucionar las irregularidades detectadas en su página web, por parte de esta Agencia se accedió a la “Política de Privacidad” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 de la página web, https://www.uniquedesigndecor.com, teniendo constatando que no existía identificación del responsable de la web; no existía información sobre el consentimiento prestado por los usuarios de la web; no existía información sobre la legitimación del tratamiento de los datos personales; no existía información sobre los posibles destinatarios con quien compartirán los datos; no existía información sobre el tiempo de conservación de los datos personales y no existía información sobre la posibilidad de interponer una reclamación ante la AEPD. Cuarto: Como justificación a lo anterior, la entidad recurrente, en su escrito de recurso de reposición manifiesta que: “se ha podido verificar que no ha sido un hecho intencionado ya que en el momento de la demanda la empresa ya contaba con una empresa encargada de tener la empresa en el cumplimiento de la LGPD; que se ha intentado en todas las alegaciones solucionar estos hechos y que no se trata por tanto de un desconocimiento de la ley ya que la empresa según ley contrato no una sino dos empresas externas para realizar todo lo referente a la Protección de Datos” El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 12.1 del RGPD establece la obligación del responsable del tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a un niño”. Cuando los datos personales se recaben directamente del interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  3. b)los datos de contacto del delegado de protección de datos, en su caso;
  4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las gaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 rantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  11. d)el derecho a presentar una reclamación ante una autoridad de control;
  12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información. De acuerdo con dichas definiciones, la recogida de datos de carácter personal que la entidad UNIQUEDESIGN & DECOR, S.L., vino realizando, como mínimo, según consta en la documentación del expediente PS/00173/2022, desde el 14/07/22 a través del formulario existen en su página web https://www.uniquedesigndecor.com/ constituye un tratamiento de datos, respecto del cual dicha entidad, como responsable del tratamiento, ha de dar cumplimiento al principio de transparencia, establecido en el artículo 5.1 del RGPD, según el cual los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)”; y desarrollado en el Capítulo III, Sección 1ª, del mismo Reglamento (artículos 12 y siguientes). Situación que no se produjo pues, en la comprobación que se realizó el 14/07/22,por parte de esta Agencia de la “Política de Privacidad” de la página web en cuestión, se pudo comprobar que no existía información en la misma, con respecto a lo estipulado en el artículo 13 del RGPD y después aunque, una vez iniciado el expediente sancionador, es la propia entidad la que manifiesta su compromiso de solucionar las irregularidades detectadas, se comprueba por parte de esta Agencia, el 26/09/22, como la “Política de Privacidad” de la página web en cuestión seguía teniendo deficiencias importantes en su “Política de Privacidad” con respecto a lo estipulado en el artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por tanto, se constató que, al menos, desde el 14/07/22 hasta el 26/09/22 (dos meses y doce días), la página web en cuestión manifestara irregularidades en la “Política de Privacidad” en relación con lo estipulado en el 13 del RGPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad UNIQUEDESIGN & DECOR, S.L., con CIF.: B87754438 titular de la página web https:// www.uniquedesigndecor.com/ contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28/09/22 en el expediente PS/00173/2022. SEGUNDO: NOTIFICAR la presente resolución a UNIQUEDESIGN & DECOR, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  14. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de C/ Jorge Juan, 6 28001 – Madrid la Agencia Española de Protección de Datos www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.