1/9
Procedimiento Nº: PS/00043/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 27 de agosto de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra la página web ***URL.1. El motivo en relación con la
normativa de protección de datos en que se basa la reclamación es el siguiente:
“[…]SEGUNDO: La página indicada no recoge la POLÍTICA DE PRIVACIDAD ni
AVISO LEGAL, incumpliendo con la normativa existente (art. 13 del Reglamento de
Protección de datos y art. 5 LOPD).”
Junto a la reclamación aporta pantallazos de la referida página web.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante y documentos de los que ha tenido
conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió
a la realización de actuaciones previas de investigación para el esclarecimiento de los
hechos en cuestión, en virtud de los poderes de investigación otorgados a las
autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), y de conformidad con lo
establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (en lo sucesivo LOPDGDD).
Como resultado de las actuaciones de investigación practicadas, se constata que el
responsable del tratamiento es B.B.B. con NIF ***NIF.1 ya que la página web
reclamada se constituye como plataforma de la candidatura a las elecciones del
Colegio Oficial de Licenciados de E.F. y Ciencias de la Actividad Física y el Deporte de
la Comunidad de Madrid celebradas en 2019 a las cuales el reclamado se postuló
como presidente.
TERCERO: Con carácter previo a la admisión a trámite de esta reclamación, se
trasladó al reclamado a la dirección profesional que publicita el mismo en internet, de
conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo, LOPDGDD), siendo devuelta por “desconocido” el 20/12/2019.
En vista de lo anterior, se solicita a la Agencia Estatal de Administración Tributaria el
domicilio fiscal del reclamado, siendo proporcionado el 26/02/2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
CUARTO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante se observa que la página web contiene un
formulario de recogida de datos personales (nombre, teléfono y dirección de correo
electrónico) de aquellas personas que estuvieran interesadas en el proyecto liderado
por el reclamado.
Consultada con fecha 24 de febrero de 2020 la página web ***URL.1, se verifica que la
web sigue abierta y mantiene la situación puesta de manifiesto en la reclamación
presentada el 27 de agosto de 2019 por A.A.A.
QUINTO: Consultada con fecha 25 de febrero de 2020 la aplicación de la AEPD se
verifica que el único procedimiento sancionador en el que aparece como reclamado la
mercantil B.B.B. con NIF ***URL.1, es el presente procedimiento.
SEXTO: Con fecha 6 de marzo de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD.
SÉPTIMO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones el 20 de marzo de 2020, en las que manifestaba que:
“[…] Primera. - Que en ningún momento esta parte ha tenido intención de incumplir
con la normativa reguladora de la Protección de Datos.
Segunda. Que nada más recibir el acuerdo de inicio que da lugar a las presentes
alegaciones, por mi parte se puso fin al tratamiento de datos, eliminando el formulario
y aquellos datos que se habían recogido por este medio.
Tercera. - Dicho lo anterior, merece la pena destacar que esta parte había elaborado el
oportuno formulario donde se daba cumplimiento a lo exigido en el RGPD, pero al
parecer por error informático del que no fuimos advertidos por nadie, pudo producirse
la situación que se me imputa. Insistir en la falta de intencionalidad por mi parte en la
comisión de los hechos. […]”
OCTAVO: Con fecha 12 de junio de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas la
reclamación presentada por el reclamante y su documentación, los documentos
obtenidos por la Subdirección General de Inspección de Datos y las alegaciones
presentadas por el reclamado.
NOVENO: En fecha 5 de agosto de 2020 se accede a la página web ***URL.1 con
objeto de comprobar lo manifestado por el reclamado en sus alegaciones.
DÉCIMO: Con fecha 18 de septiembre de 2020 se formuló propuesta de resolución,
proponiendo se imponga al reclamado una sanción de apercibimiento, por una
infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la misma norma.
El reclamado no ha presentado alegaciones a esta propuesta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: La página web ***URL.1 me dispuso de un formulario de recogida de datos
personales de posibles personas interesadas en el proyecto de candidatura a las
elecciones a las elecciones del Colegio Oficial de Licenciados de E. F. y Ciencias de
las Actividades Físicas y del Deporte de Madrid celebradas el 6 de septiembre de 2019
sin disponer de Política de Privacidad.
SEGUNDO: Consta como principal responsable B.B.B. con NIF ***NIF.1.
TERCERO: El reclamado asevera que ha retirado el mencionado formulario y puesto
fin al tratamiento de datos.
CUARTO: Consta acreditado, tras la comprobación realizada el día 4 de agosto de
2020, que el formulario de recogida de datos ha sido efectivamente retirado.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de
la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.
II
Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13
del RGPD, relativo a la información que deberá facilitarse cuando los datos se
obtengan del interesado, que establece que:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información.”
La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD,
que considera como tal:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
[…]b) los derechos de los interesados a tenor de los artículos 12 a 22; […].”
A efectos del plazo de prescripción de la infracción, el artículo 72.1 de la LOPDGDD
establece:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel, y, en particular, las
siguientes:
[…] h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679. […]”.
III
De conformidad con las evidencias de las que se dispone en el presente
procedimiento sancionador, se considera que la página web
www.unionccafyde.site123.me, responsabilidad del reclamado, mantuvo un formulario
de recogida de datos personales sin proporcionar en modo alguno la información que
establece el artículo 13 del RGPD.
Por lo que se refiere a las alegaciones presentadas por el reclamado —en las que
señala que no había existido intencionalidad por su parte el formulario había sido
originalmente diseñado dando cumplimiento a los dispuesto en el RGPD y que por un
error informático habían acaecido los hechos objeto del presente procedimiento (sin
aportar prueba al respecto)—, es preciso señalar que el artículo 5.1.a) del RGPD
enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el
Considerando 39: «Todo tratamiento de datos personales debe ser lícito y leal. Para
las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando,
consultando o tratando de otra manera datos personales que les conciernen, así como
la medida en que dichos datos son o serán tratados. El principio de transparencia
exige que toda información y comunicación relativa al tratamiento de dichos datos sea
fácilmente accesible y fác8il de entender, y que se utilice un lenguaje sencillo y claro.
Dicho principio se refiere en particular a la información de los interesados sobre la
identidad del responsable del tratamiento y los fines del mismo y a la información
añadida para garantizar un tratamiento leal y transparente con respecto a las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y
del equipo utilizado en el tratamiento.»
El Considerando 60 vincula el deber de información con el principio de transparencia,
al establecer que «Los principios de tratamiento leal y transparente exigen que se
informe al interesado de la existencia de la operación de tratamiento y sus fines. El
responsable del tratamiento debe facilitar al interesado cuanta información
complementaria sea necesaria para garantizar un tratamiento leal y transparente,
habida cuenta de las circunstancias y del contexto específicos en que se traten los
datos personales. Se debe además informar al interesado de la elaboración de perfiles
y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de
los interesados, también se les deben informar si están obligados a facilitarlos y de las
consecuencias en caso de que no lo hicieran […]». En este orden, el artículo 12.1 del
RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13
concreta qué información debe facilitarse cuando los datos se obtengan del
interesado. A su vez, el artículo 11 LOPDGDD introduce la regla de información por
capas cuando dispone:
“1. Cuando los datos personales sean obtenidos del afectado el responsable del
tratamiento podrá dar cumplimiento al deber de información establecido en el artículo
13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la
que se refiere el apartado siguiente e indicándole una dirección electrónica u otro
medio que permita acceder de forma sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá contener, al
menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679. […]»
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
Establecido así el deber de información y la obligación, por parte del responsable de
llevar a cabo un tratamiento transparente, no puede desconocerse que el artículo 5.2
del RGPD establece que «el responsable del tratamiento será responsable del
cumplimiento de los dispuesto en el apartado 1 y capaz de demostrarlo
(“responsabilidad proactiva”)». Esto significa que, de acuerdo con los artículos 24 y 25
del mismo texto legal, el responsable deberá garantizar la aplicación efectiva de los
principios del tratamiento tanto en el momento de determinar los medios del
tratamiento como durante el tratamiento en sí a través de la articulación de una serie
de medidas, las cuales serán deberán ser objeto de revisión y actualización periódica.
Siendo así las cosas, y aun cuando en el caso presente el reclamado hubiera
procedido, en el momento de determinación de los medios a diseñar e implementar
unas medidas acordes a garantizar el cumplimiento del principio de transparencia y del
deber de información, ello no le eximiría de seguir siendo responsable de la efectividad
de dichas medidas durante todo el tiempo en que se hubiera producido la recogida y
tratamiento de los datos personales, máxime cuando en este caso no ha existido un
encargo del tratamiento a otros actores.
IV
Los poderes correctivos de los que dispone la Agencia Española de Protección de
Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre
ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la
potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD
-artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando
proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2
d)-.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
d) del citado Reglamento es compatible con la sanción consistente en multa
administrativa.
Asimismo, sin perjuicio de lo dispuesto en el artículo 83, el citado RGPD dispone la
posibilidad de sancionar con apercibimiento, en relación con lo señalado en el
Considerando 148:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.»
En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en
cuenta los siguientes elementos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
Que se trata de una persona física cuya actividad principal no está vinculada con el
tratamiento de datos personales.
Que no se aprecia reincidencia, por no constar la comisión de infracciones
anteriores.
Por todo ello, se considera que la sanción que correspondería imponer es de
apercibimiento, de acuerdo con lo establecido en el artículo 58.2 b) del RGPD, en
relación con lo señalado en el Considerando 148, antes citados.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del
RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO.
SEGUNDO: NOTIFICAR la presente resolución a B.B.B. e informar a A.A.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es