1/12
Procedimiento Nº: EXP202307898 (PS/00378/2023)
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 27/04/23, D. A.A.A. (en adelante, la parte reclamante), presenta
escrito de reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra la entidad ROUNDED TECHNOLOGIES, S.L., con
CIF.: B01673862, (en adelante, la parte reclamada), por la presunta vulneración de la
normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento
Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas
en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de
estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002,
de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico
(LSSI).
Los hechos que manifiesta el reclamante son los siguientes:
“Me descargué la app “Shop Buo”, no me sedujo y la desinstalé el mismo día.
Empecé a recibir emails comerciales de la misma empresa los días 11 , 14 (2)
y 15 de Marzo de 2023. Tramito baja del boletín el día 15 03 23 a través del
enlace que disponen en el email comercial y me llega confirmación instantánea
de confirmación de la baja.
Para mi asombro el día 27 04 23 , vuelvo a recibir otro email comercial.
Entonces accedo a la web https://www.shopbuo.com/politica-deprivacidad y
encuentro el email [email protected] como contacto de privacidad , por lo que
antes de iniciar este procedimiento, envío un email a esa dirección exigiendo el
cese inmediato de las comunicaciones comerciales, sin embargo me llega
email indicando que la dirección de email no existe, por lo que no me dejan
más remedio que abrir esta reclamación. He observado que la web
www.shopbuo.com no dispone de aviso legal y encima el email de protección
de datos no funciona”.
Junto a los escritos de reclamación, se acompaña la siguiente documentación:
- Copia de la “Política de Privacidad” de la web www.shopbuo.com,
(https://www.shopbuo.com/politica-de-privacidad), donde se puede leer entre
otras cuestiones, lo siguiente:
o “(…) Contáctenos: No dude en ponerse en contacto con nosotros si
tiene alguna pregunta. Vía Email: [email protected]. A través de este
enlace: https://shopbuo.com .
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
- Copia de los correos electrónicos recibidos por el reclamante los días 11/03/23
y 14/03/23, desde la dirección de correo ***[email protected]
conteniendo mensajes publicitarios. En dichos correos se puede leer el
siguiente mensaje en la parte final del mismo:
o “ (…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras,
pero puedes <<cancelar la suscripción>> si no quieres recibir más
emails como éste. Para más información consulta: www.shopbuo.com
- Copia del correo electrónico recibido por el reclamante el día 15/03/23, enviado
desde la dirección de correo [email protected], conteniendo el
acuse de recibo de haberle dado de baja del correo electrónico e indicándole
que no recibirá ningún otro correo electrónico de “Buo”.
- Copia del correo electrónico recibido el día 27/04/23, desde la dirección de
correo [email protected], conteniendo mensajes publicitarios. En dicho correo se
puede leer el siguiente mensaje, en la parte final del mismo:
o “(…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras,
pero puedes <<cancelar la suscripción>> si no quieres recibir más
emails como éste. Para más información consulta: www.shopbuo.com”.
- Copia del correo electrónico enviado el 27/04/23 desde la dirección de correo
del reclamante a la dirección de correo [email protected] en el cual se puede
leer el siguiente mensaje:
o “Hola Me di de baja el 15 de Marzo y sigo recibiendo emails, no quisiera
poner una denuncia en la AEPD, por lo que les doy el plazo de 3 días
para que me confirmen OTRA VEZ la baja y me aseguren que no voy a
recibir ningún otro email”.
- Copia de la respuesta recibida el mismo día 27/04/23 desde la dirección de
correo “Mail Delivery Subsystem <[email protected]> con el
siguiente mensaje escrito en inglés (traducido al castellano): “Dirección no
encontrada. Su mensaje no fue entregado a [email protected] porque no se
pudo encontrar la dirección o no se puede recibir correo”.
- Copia del correo electrónico recibido por el reclamante el 10/05/23, desde la
dirección de correo, [email protected] conteniendo un mensaje publicitario. En
dicho correo se puede leer el siguiente mensaje, en la parte final del mismo:
o “(…) ¿Necesitas ayuda? Contáctanos Nos encantaría que te quedaras,
pero puedes <<cancelar la suscripción>> si no quieres recibir más
emails como éste. Para más información consulta: www.shopbuo.com”.
SEGUNDO: Con fecha 09/06/23, de conformidad con lo estipulado en el artículo 65.4
de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la
parte reclamada para que procediese a su análisis e informase, en el plazo de un mes,
sobre lo que se exponía en el escrito de reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y
Dirección Electrónica, fue enviado a la parte reclamada el día 09/06/23 a través del
servicio de notificaciones electrónicas, “NOTIFIC@”, siendo rechazado de forma
automática el día 20/06/23.
Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se envió
una copia por correo postal a la dirección indicada en el Registro Mercantil Central
como dirección social: ***DIRECCION.1, fue devuelta a destino el 26/07/23, con el
mensaje de “desconocido”.
TERCERO: Con fecha 27/07/23, por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación
presentada, de conformidad con el artículo 65 de la Ley LPDGDD.
CUARTO: Con fecha 12/09/23, por parte de esta Agencia se realizan las siguientes
comprobaciones diligenciadas, con respecto a las indicaciones que se incluyen en los
correos electrónicos publicitarios:
a).- Si se cliquea en la opción <<puedes cancelar la suscripción>>, incluido en los
correos electrónicos publicitarios enviados por la parte reclamada, aparece el siguiente
mensaje escrito en inglés,(traducido al castellano):
“¿Quieres darte de baja de nuestros correos electrónicos?
Dejarás de recibir correos electrónicos nuestros.
<<Cancelar suscripción>>
Descargo de responsabilidad: este correo electrónico se envió a través de Crisp para
el sitio web: shopbuo.com
No somos responsables de ningún abuso de ese sitio web. Respetamos todas las
solicitudes de cancelación de suscripción por correo electrónico. Si el sitio web abusa
de su bandeja de entrada de correo electrónico, comuníquese con el sitio web
primero. Si aún recibe correos electrónicos después de hacerlo, comuníquese con
Crisp en: [email protected]”
Si se cliquea en la opción de <<cancelar suscripción>> aparece el siguiente mensaje
escrito en inglés (traducido al castellano):
¡Darse de baja de los correos electrónicos!
¡Entendido! No recibirás más correos electrónicos. — ¿Volver a suscribirse?
Descargo de responsabilidad: este correo electrónico se envió a través de Crisp para
el sitio web: shopbuo.com
No somos responsables de ningún abuso de ese sitio web. Respetamos todas las
solicitudes de cancelación de suscripción por correo electrónico. Si el sitio web abusa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
de su bandeja de entrada de correo electrónico, comuníquese con el sitio web
primero. Si aún recibe correos electrónicos después de hacerlo, comuníquese con
Crisp en: [email protected]
b).- Si se accede a la página web https://www.shopbuo.com, se comprueba que, a
través del enlace existente en la parte superior de la mismas <<descargar la app>>,
https://www.shopbuo.com/soy-un-consumidor, aparece un código QR que posibilita la
descarga de la app, “Shop Buo”.
Se observa que en la “Política de Privacidad” de la web
https://www.shopbuo.com/politica-de-privacidad, si se desea contactar con el
responsable a través del correo electrónico indicado en la página ([email protected]),
se recibe un mensaje de respuesta instantáneo que indica,
“Tu mensaje no fue entregado a [email protected] porque no se pudo encontrar
la dirección o no se puede recibir correo”.
QUINTO: Con fecha 05/10/23, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por
las presuntas infracciones del artículo 21.1 de la LSSI, tipificada como “leve” en el art.
38.4.d) de dicha norma y del artículo 21 del RGPD, tipificada en el artículo 83.5.b) de
la citada norma.
En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,
atendidas las evidencias existentes en ese momento y sin perjuicio de lo que resultase
de la instrucción ascendería a un total de 2.500 euros (dos mil quinientos euros), en el
caso de la infracción del artículo 21 de la LSSI y de 5.000 euros (cinco mil euros), en el
caso de la infracción del artículo 21 del RGPD. Asimismo, se advertía que las
infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas de
acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD.
Además se indicó a la parte reclamada que, si en el plazo estipulado no efectuara
alegaciones a este acuerdo de inicio, el mismo podría ser considerado propuesta de
resolución, según lo establecido en el artículo 64.2.f) de la LPACAP.
Este acuerdo de inicio, que se notificó a la parte reclamada conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 06/10/23.
SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha
constatado que no se ha recibido alegación alguna a la incoación del expediente, en
esta Agencia.
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción de la LSSI atribuida al reclamado y la sanción que podrían
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
Único: En el escrito de reclamación, el reclamante manifiesta que después de
desinstalar la app “Shop Buo” de su móvil, empezó a recibir emails comerciales de la
misma empresa. Que tramitó la baja del boletín a través del enlace que se incluía en el
email comercial recibiendo el acuse de recibo de haber tramitado correctamente la
baja. No obstante, después de ello volvió a recibir nuevos correos electrónicos
publicitarios de la misma empresa, presentando, para corroborarlo, los siguientes
documentos:
- Copia de los correos electrónicos recibidos por el reclamante los días 11/03/23
y 14/03/23, desde la entidad reclamada conteniendo mensajes publicitarios.
- Copia del correo electrónico recibido por el reclamante el día 15/03/23, enviado
por la entidad reclamada, conteniendo el acuse de recibo de haberle dado de
baja del correo electrónico e indicándole que no recibiría ningún otro correo
electrónico de “Buo”.
- Copia del correo electrónico recibido el día 27/04/23, desde la dirección de la
entidad reclamada conteniendo mensajes publicitarios.
- Copia del correo electrónico enviado el 27/04/23 por el reclamante a la entidad
reclamada solicitando de nuevo la baja de sus datos para no volver a recibir
más correos electrónicos publicitarios.
- Copia de la respuesta recibida el mismo día 27/04/23 desde dirección de
correo “Mail Delivery Subsystem <[email protected]> con el
siguiente mensaje escrito en inglés (traducido al castellano): “Dirección no
encontrada. Su mensaje no fue entregado a [email protected] porque no se
pudo encontrar la dirección o no se puede recibir correo”.
- Copia del correo electrónico recibido por el reclamante el 10/05/23, desde la
entidad reclamada conteniendo un mensaje publicitario.
FUNDAMENTOS DE DERECHO
I.
Competencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
Respecto de los mensajes publicitarios enviados, es competente para resolver este
Procedimiento Sancionador, la Directora de la Agencia Española de Protección de
Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la LSSI.
La Disposición adicional cuarta de la LOPDGDD establece, sobre el "Procedimiento en
relación con las competencias atribuidas a la AEPD por otras leyes", que: "Lo
dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los
procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar
en ejercicio de las competencias que le fueran atribuidas por otras leyes."
Sobre el tratamiento de los datos personales y la “Política de Privacidad” de la web
https://www.shopbuo.com, es competente para resolver este procedimiento, la
Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que
el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en
los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD.
II.
Síntesis de los hechos:
Según manifiesta el reclamante, tras descargarse la app “Shop Buo”, empezó a recibir
emails comerciales de la empresa en cuestión y después de darse de baja, a través
del enlace que se incluye en los correos y de recibir la confirmación de la baja siguió
recibiendo correos electrónicos publicitarios de la empresa. Tras lo cual, accedió a la
“Política de Privacidad” de la web https://www.shopbuo.com
(https://www.shopbuo.com/politica-deprivacidad), e intentó ponerse en contacto con el
responsable de la misma a través del correo electrónico que se indicaba a tal efecto,
[email protected] pero recibió una respuesta instantánea donde le informaban de que
dicha dirección de correo no era válido o no existía.
III.-1
Tipificación de la infracción cometida por el envío de comunicaciones comerciales
El hecho de que el reclamado envíe correos electrónicos publicitarios al reclamante
habiendo éste solicitado que no le envíen más publicidad constituye una vulneración
de lo establecido en el artículo 21 de la LSSI, pues establece lo siguiente:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales
por correo electrónico u otro medio de comunicación electrónica equivalente
que previamente no hubieran sido solicitadas o expresamente autorizadas por
los destinatarios de estas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma
lícita los datos de contacto del destinatario y los empleara para el envío de
comunicaciones comerciales referentes a productos o servicios de su propia
empresa que sean similares a los que inicialmente fueron objeto de
contratación con el cliente.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de
oponerse al tratamiento de sus datos con fines promocionales mediante un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos
como en cada una de las comunicaciones comerciales que le dirija.
Cuando las comunicaciones hubieran sido remitidas por correo electrónico,
dicho medio deberá consistir necesariamente en la inclusión de una dirección
de correo electrónico u otra dirección electrónica válida donde pueda
ejercitarse este derecho, quedando prohibido el envío de comunicaciones que
no incluyan dicha dirección.”
III.-2
Sanción
La citada infracción del artículo 21 de la LSSI, se encuentra tipificada como leve en el
art. 38.4.d) de dicha norma, que califica como tal, “El envío de comunicaciones
comerciales por correo electrónico u otro medio de comunicación electrónica
equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el
artículo 21 y no constituya infracción grave”.
Con arreglo a dichos criterios, se estima adecuado imponer una sanción de 2.500
euros, (dos mil quinientos euros), por la infracción del artículo 21 de la LSSI, al enviar
mensajes publicitarios al reclamante, habiéndose opuesto a ello previamente.
IV.-1
Sobre el tratamiento de los datos personales de la web y la “Política de Privacidad”
Se ha observado que en la “Política de Privacidad” de la web
https://www.shopbuo.com/politica-de-privacidad, si se desea contactar con el
responsable del sito, a través del correo electrónico indicado en la página
([email protected]), se recibe un mensaje de respuesta automática indicado que dicha
dirección de correo es incorrecta o no existe.
A este respecto, el RGPD establece en el art. 21, “Derecho de oposición”, lo siguiente:
“1. El interesado tendrá derecho a oponerse en cualquier momento, por
motivos relacionados con su situación particular, a que datos personales que le
conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo
6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de
dichas disposiciones. El responsable del tratamiento dejará de tratar los datos
personales, salvo que acredite motivos legítimos imperiosos para el tratamiento
que prevalezcan sobre los intereses, los derechos y las libertades del
interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
2. Cuando el tratamiento de datos personales tenga por objeto la
mercadotecnia directa, el interesado tendrá derecho a oponerse en todo
momento al tratamiento de los datos personales que le conciernan, incluida la
elaboración de perfiles en la medida en que esté relacionada con la citada
mercadotecnia.
3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia
directa, los datos personales dejarán de ser tratados para dichos fines.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
4. A más tardar en el momento de la primera comunicación con el interesado,
el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al
interesado y será presentado claramente y al margen de cualquier otra
información.
5. En el contexto de la utilización de servicios de la sociedad de la información,
y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá
ejercer su derecho a oponerse por medios automatizados que apliquen
especificaciones técnicas.
6. Cuando los datos personales se traten con fines de investigación científica o
histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el
interesado tendrá derecho, por motivos relacionados con su situación
particular, a oponerse al tratamiento de datos personales que le conciernan,
salvo que sea necesario para el cumplimiento de una misión realizada por
razones de interés público”.
Esto es, la persona titular de los datos personales puede ejercitar ante el responsable
del tratamiento una serie de derechos respecto de dichos datos, y por tanto, el hecho
de que la dirección de correo electrónico indicada por el responsable de la web,
[email protected] para poder ponerse en contacto con él no exista en realidad o no se
pueda acceder a ella, supone la vulneración del artículo 21 del RGPD, dando lugar,
además, a la aplicación de los poderes correctivos que el artículo 58 del citado
Reglamento otorga a la Agencia Española de Protección de datos.
IV.-2
sanción
De confirmarse, el incumplimiento del precepto indicado podría suponer la comisión de
una infracción tipificada en el artículo 83.5.b) del RGPD, que bajo la rúbrica
“Condiciones generales para la imposición de multas administrativas” dispone lo
siguiente:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía: (…) b) los derechos de los
interesados a tenor de los artículos 12 a 22”.
En lo que respecta a los plazos de prescripción, el artículo 72.1.k) de la LOPDGDD,
establece:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes: (…) k) El impedimento o
la obstaculización o la no atención reiterada del ejercicio de los derechos
establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
A fin de determinar la multa administrativa a imponer se han de observar las previsio-
nes de los apartados 1 y 2 del artículo 83 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas admi-
nistrativas con arreglo al presente artículo por las infracciones del presente Re-
glamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contem-
pladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición
de una multa administrativa y su cuantía en cada caso individual se tendrá de-
bidamente en cuenta: a) la naturaleza, gravedad y duración de la infracción, te-
niendo en cuenta la naturaleza, alcance o propósito de la operación de trata-
miento de que se trate, así como el número de interesados afectados y el nivel
de los daños y perjuicios que hayan sufrido; b) la intencionalidad o negligencia
en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados; d) el grado de
responsabilidad del responsable o del encargado del tratamiento, habida cuen-
ta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32; e) toda infracción anterior cometida por el responsable o el
encargado del tratamiento; f) el grado de cooperación con la autoridad de con-
trol con el fin de poner remedio a la infracción y mitigar los posibles efectos ad-
versos de la infracción; g) las categorías de los datos de carácter personal
afectados por la infracción; h) la forma en que la autoridad de control tuvo co-
nocimiento de la infracción, en particular si el responsable o el encargado notifi-
có la infracción y, en tal caso, en qué medida; i) cuando las medidas indicadas
en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el res-
ponsable o el encargado de que se trate en relación con el mismo asunto, el
cumplimiento de dichas medidas; j) la adhesión a códigos de conducta en vir-
tud del artículo 40 o a mecanismos de certificación aprobados con arreglo al ar-
tículo 42, y k) cualquier otro factor agravante o atenuante aplicable a las cir-
cunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispo-
ne:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Regla-
mento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de gradua-
ción establecidos en el apartado 2 del citado artículo.
2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta: a) El carácter continuado de la in-
fracción. b) La vinculación de la actividad del infractor con la realización de tra-
tamientos de datos personales. c) Los beneficios obtenidos como consecuen-
cia de la comisión de la infracción. d) La posibilidad de que la conducta del
afectado hubiera podido inducir a la comisión de la infracción. e) La existencia
de un proceso de fusión por absorción posterior a la comisión de la infracción,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
que no puede imputarse a la entidad absorbente. f) La afectación a los dere-
chos de los menores. g) Disponer, cuando no fuere obligatorio, de un delegado
de protección de datos. h) El sometimiento por parte del responsable o encar-
gado, con carácter voluntario, a mecanismos de resolución alternativa de con-
flictos, en aquellos supuestos en los que existan controversias entre aquellos y
cualquier interesado”.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones
a imponer en el presente caso, se considera que procede graduar la multa de acuerdo
con los siguientes criterios:
- El alcance o propósito de la operación de tratamiento de datos, así como los
interesados afectados, (artículo 83.2.a): En relación con el número de
interesados afectados se tiene en consideración todos los potencialmente
afectados, usuarios de la web.
Con arreglo a lo anterior, se estima adecuado imponer una sanción de 5.000 euros
(cinco mil euros), por la infracción del artículo 21 RGPD.
IV.-3
Adopción de Medidas
Confirmada las infracciones, procede imponer a la parte denunciada la obligación de
adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en
este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
En el texto de la presente resolución se establecen cuál ha sido la infracción cometida
y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de
lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el
tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, procede requerir a la
parte reclamada para que, en el plazo de un mes, realice las modificaciones
necesarias en su página web y habilite una dirección de correo electrónico válida para
que los usuarios puedan ponerse en contacto con él y poder ejercer, si lo desean, sus
derechos en materia de protección de datos.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a la entidad ROUNDED TECHNOLOGIES, S.L., con CIF.:
B01673862, las multas siguientes:
- Por infracción del artículo 21 de la LSSI, tipificada en el artículo 38.4.d) de la
citada norma, una multa de 2.500 euros (dos mil quinientos euros).
- Por infracción del artículo 21 del RGPD, tipificada en el artículo 83.5.b) de la
citada norma, una multa de 5.000 euros (cinco mil euros).
SEGUNDO: : ORDENAR a ROUNDED TECHNOLOGIES, S.L., que en virtud del
artículo 58.2.d) del RGPD, en el plazo que un mes a contar desde la notificación del
presente acto, adecúe su actuación a la normativa de protección de datos personales,
con el alcance expresado en el Fundamento de Derecho IV.-3. En el mismo plazo
indicado, deberá justificar ante esta Agencia Española de Protección de Datos la
atención de este requerimiento.
TERCERO NOTIFICAR la presente resolución a ROUNDED TECHNOLOGIES, S.L.,
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida Nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la
notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días
1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre
los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5
del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es