1/8
Expediente N.º: EXP202206542
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19 de mayo de 2022
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte
reclamada). Los motivos en que basa la reclamación son los siguientes:
El día 24/04/2021 la parte reclamante contrató a la parte reclamada para que efectuara
una investigación.
Según afirma, la parte reclamada ha tratado sus datos sin facilitarle la información
establecida en el artículo 13 del RGPD.
La parte reclamante efectuó un requerimiento a la parte reclamada para que le
remitieran dicha información y no le han contestado.
Junto a la reclamación aporta el contrato suscrito (no constando en el mismo ninguna
cláusula de protección de datos) y un correo electrónico remitido por la parte
reclamante a la dirección de correo electrónico ***EMAIL.1, al que se anexó el fichero
denominado requerimiento.pdf.
En el contrato firmado figura sobreimpresa la dirección web ***URL.1. En esta página
web aparece un formulario de contacto en el que se solicitan datos personales, y no se
especifica la política de privacidad aplicable.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por
el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada
conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 21/06/2022, como consta
en el certificado que obra en el expediente. Reiterado el traslado en fecha 21/06/2022
por correo postal certificado, fue nuevamente devuelto por "desconocido”.
No se ha recibido respuesta a este escrito de traslado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
TERCERO: Con fecha 1 de julio de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 6 de septiembre de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del
RGPD.
Intentada la notificación a través del Servicio de Notificaciones Electrónicas y Dirección
Electrónica Habilitada el 07/09/2022, en fecha 18/09/2022 se produjo el rechazo
automático de la misma al no haber accedido a ella el destinatario.
Con fecha 04/10/2022 se intenta de nuevo la notificación en la dirección postal obrante
en el expediente, con el resultado “devuelta a origen por desconocido” el 06/10/2022.
De acuerdo con el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas, se publicó el anuncio de
acuerdo de apertura de procedimiento sancionador en el Boletín Oficial del Estado del
día 14/10/2022.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado
para la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la parte reclamada.
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Consta acreditado que la parte reclamante y la parte reclamada
suscribieron un contrato según el cual la parte reclamante contrataba los servicios de
un detective privado, que se corresponde con la persona de la parte reclamada, a fin
de llevar a cabo una investigación de índole familiar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
SEGUNDO: Consta acreditado que en el contrato firmado figura sobreimpresa la
dirección ***URL.1, página web en la que aparece un formulario de contacto en el que
se solicitan datos personales, y no se especifica la política de privacidad aplicable.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
A tenor del artículo 5.1 del RGPD el tratamiento de datos personales habrá de regirse
por los siguientes principios:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (…)
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo ”
Una de las manifestaciones del principio de transparencia es el derecho que el RGPD
otorga a los titulares de los datos a recibir información y la correlativa obligación que
impone al responsable del tratamiento de facilitar al interesado la información que
detallan los artículos 12, 13 y 14 del RGPD.
Estas dos últimas disposiciones contemplan dos supuestos distintos: Que los datos se
obtengan directamente del interesado (artículo 13), como ocurre en el presente caso,
ya que los datos se obtienen bien al firmar el contrato, bien al rellenar el cuestionario
de la página web para solicitar información, o que los datos no se obtengan del
interesado (artículo 14).
El artículo 13 del RGPD establece:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso; f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las con-secuencias
previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2. 4. Las
disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en
que el interesado ya disponga de la información.”
Los Considerandos 39 y 60 del RGPD contribuyen a precisar el alcance del derecho
de información que se otorga a los interesados.
El Considerando 39 establece: “Todo tratamiento de datos personales debe ser lícito y
leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo,
utilizando, consultando o tratando de otra manera datos personales que les
conciernen, así como la medida en que dichos datos son o serán tratados. El principio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
de transparencia exige que toda información y comunicación relativa al tratamiento de
dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje
sencillo y claro. Dicho principio se refiere en particular a la información de los
interesados sobre la identidad del responsable del tratamiento y los fines del mismo y
a la información añadida para garantizar un tratamiento leal y transparente con
respecto a las personas físicas afectadas y a su derecho a obtener confirmación y
comunicación de los datos personales que les conciernan que sean objeto de
tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las
normas, las salvaguardias y los derechos relativos al tratamiento de datos personales,
así como del modo de hacer valer sus derechos en relación con el tratamiento. En
particular, los fines específicos del tratamiento de los datos personales deben ser
explícitos y legítimos, y deben determinarse en el momento de su recogida. [...].”
El Considerando 60 aclara que “Los principios de tratamiento leal y transparente
exigen que se informe al interesado de la existencia de la operación de tratamiento y
sus fines. El responsable del tratamiento debe facilitar al interesado cuanta
información complementaria sea necesaria para garantizar un tratamiento leal y
transparente, habida cuenta de las circunstancias y del contexto específicos en que se
traten los datos personales. Se debe además informar al interesado de la existencia
de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos
personales se obtienen de los interesados, también se les debe informar de si están
obligados a facilitarlos y de las consecuencias en caso de que no lo hicieron.”
En el presente caso, de la reclamación presentada por la parte reclamante se infiere
que no fue informada del modo en el que serían tratados sus datos personales.
Asimismo, se comprueba que en la página web ***URL.1 hay al menos un formulario
de recogida de datos personales sin que figure información alguna relativa a la política
de privacidad aplicable.
III
El artículo 83.5 del RGPD bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22;
(…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica.”
IV
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía se
considera que procede graduar la sanción a imponer de acuerdo con los criterios que
establece el artículo 83.2 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas”
de la LOPDGDD.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 13 del RGPD, permite fijar una sanción de 2.000 € (dos mil
euros).
V
De acuerdo con lo establecido en el artículo 58.2 d) del RGPD, según el cual cada
autoridad de control podrá “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”
se indica que, en el plazo de 30 días desde la recepción de la presente resolución, la
parte reclamada deberá proceder a completar la política de privacidad en los contratos
que se suscriban con clientes, así como en las páginas web en las que se recojan
datos personales
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
VI
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13
del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2000 euros (DOS MIL
euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, a tenor del artículo 58.2.d) del
RGPD, por una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.b) del
citado Reglamento, que, en el plazo de 30 días computado desde que la presente
resolución sea ejecutiva, proceda a completar la política de privacidad en los contratos
que se suscriban con clientes, así como en las páginas web en las que se recojan
datos personales y a comunicar a la AEPD su cumplimiento.
TERCERO: NOTIFICAR la presente resolución a B.B.B..
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-181022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es