1/11
Procedimiento Nº: PS/00438/2019
938-300320
- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: En el curso de las actuaciones seguidas por la Agencia Española de
Protección de Datos (AEPD) en el procedimiento sancionador PS/0006/2019 se tuvo
conocimiento de que la página web banderacatalana.cat había modificado la identidad
del responsable de la página y del tratamiento de los datos personales, de modo que
éste pasaba a ser D. A.A.A., con NIF ***NIF.1. Extremo del que se dejó constancia en
la Diligencia de fecha 31/10/2019 levantada en el marco del referido expediente
sancionador PS/0006/2019.
En atención a esto, la Directora de la AEPD, mediante Nota Interior firmada el
19/11/2019, instó a la Subdirección General de Inspección de Datos a que iniciara
Actuaciones Previas de Investigación a fin de determinar si el nuevo responsable de la
página web banderacatana.cat, D. A.A.A. (en lo sucesivo el reclamado) cumplía la
normativa de protección de datos.
Cabe recordar que en el procedimiento sancionador PS/0006/2019, se sancionó
a la entidad GRUP BC, S.L., que tenía la condición de responsable de la página web
en la fecha en la que se acordó la apertura de ese procedimiento sancionador, por
incumplimiento del artículo 13.1 del RGPD en relación con los artículos 6.1.a) y 8 del
RGPD y con el artículo 7 de la LOPDGDD.
SEGUNDO: La Inspección de Datos de la Agencia, en el marco del expediente
E/10868/2019, accede en fecha 19/11/2019 a la página web banderacatalana.cat.
comprobando que, bajo la rúbrica “text legal”, concretamente en el apartado destinado
al “Responsable”, informa de que el responsable de la web alojada en
banderacatalana.cat/botiga/ y del tratamiento de los datos personales es el señor
A.A.A. con número de identificación ***NIF.1 y domicilio fiscal en ***DIRECCION.1.
Mediante Diligencia de constancia de fecha 19/11/2019 firmada por la inspectora
actuante, se incorporan al expediente E/10868/2019 diversas capturas de pantalla
obtenidas del texto legal de la precitada página web. Las capturas de pantalla ofrecen
la siguiente información relevante a los efectos que nos ocupan:
El apartado que lleva por rúbrica “Suscripción a nuestra Newsletter” dice:
- “Finalidad”, “El envío de nuestro boletín comercial, de comunicaciones informativas y
publicitarias sobre nuestros productos o servicios que sean de su interés incluso por
medios electrónicos (Correo electrónico, SMS, etc).
- “Legitimación”, “El consentimiento del usuario al suscribirse a nuestros envíos por los
mismos hechocomerciales o Newsletter”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/11
- “Conservación”, “Hasta que el interesado revoque el consentimiento y solicite la baja
del servicio”
- “Obligación de facilitar los datos personales y consecuencia de no hacerlo”.
“El suministro de datos personales requiere una edad mínima de 13 años o, en su
caso, disponer de capacidad jurídica suficiente para contratar”
“Los datos personales solicitados son necesarios para gestionar sus solicitudes y/o
prestar los servicios que pueda contratar, de manera que, si no nos los facilita, no
podremos atenderle correctamente ni prestarle el servicio que ha solicitado”. (El
subrayado es de la AEPD)
TERCERO: Con fecha 10 de diciembre de 2019, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 13 del RGPD, en relación con los artículos 6.1.a) y 8
del RGPD y artículo 7 de la LOPDGDD, tipificada en el artículo 83.5.b) del RGPD.
CUARTO: La notificación al reclamado del acuerdo de inicio se efectuó a través de las
siguientes actuaciones:
En fecha 12/12/2019 se envía por correo postal, a través de la Sociedad Estatal
Correos y Telégrafos, S.A. (en adelante Correos), a la dirección que figura en la página
web www.banderacatalana.cat vinculada al responsable: ***DIRECCION.1.
La notificación así practicada resultó infructuosa. Obra en el expediente el
documento emitido por Correos el 20/12/2019, denominado “Certificación de
Imposibilidad de Entrega” en el que se certifica que “de acuerdo con la información
existente en el Sistema de Información, su envío NT 28019822ADKH09112601,
admitido el 12-12-2019,
Para: A.A.A.. Dirección: ***DIRECCION.1
Ha venido Devuelto a Origen por Dirección incorrecta el 20-12-2019 a las 19:40. Por
el empleado 442438. Teniendo la siguiente información asociada:
Gestión de entrega por la Unidad 0869294.
1er intento de entrega el 19-12-2019 a las 12:52 por el empleado 264502 ha resultado
03 ausente”. (El subrayado es de la AEPD)
El artículo 44 de la Ley 39/2015, de Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP) indica que cuando el destinatario de la
notificación sea desconocido, se ignore el lugar de la notificación o bien, intentada ésta
no se hubiera podido practicar, la notificación se hará por medio de un anuncio
publicado en el B.O.E.
El tablón edictal del BOE de fecha 07/01/2020 publicó el anuncio de notificación
de la AEPD, de 02/01/2020, en el procedimiento PS/00438/2019. El anuncio insertado
en el BOE decía:
“...en el plazo máximo de 10 días hábiles contados desde el día siguiente al de
la publicación del presente anuncio, el interesado a efectos de esta notificación o su
representante, podrá solicitar, acreditando su identidad, una copia del documento
correspondiente al acto administrativo señalado, para conocimiento de su contenido
íntegro, solicitándolo a través de la Sede Electrónica de la Agencia (https://
sedeagpd.gob.es/sede-electronica-web/), o compareciendo de lunes a viernes de 9:00
a 14:30 en el Servicio de Atención al Ciudadano de la Agencia Española de Protección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/11
de Datos, calle Jorge Juan, 6, 28001 Madrid. Si transcurrido dicho plazo no se hubiera
comparecido, la notificación se entenderá practicada a todos los efectos legales desde
el día siguiente al del vencimiento del plazo máximo señalado para comparecer.”
No consta en esta Agencia que el reclamado, por sí o por medio de
representante, haya solicitado una copia del acuerdo de inicio del expediente
sancionador. Tampoco consta que el reclamado haya presentado alegaciones al citado
acuerdo.
QUINTO: El acuerdo de inicio del procedimiento sancionador, en su parte dispositiva,
apartado segundo, acuerda incorporar al expediente administrativo, a efectos de
prueba, “la Nota Interior de la Directora de la AEPD en la que ordena a la Inspección
de Datos que realice las actuaciones precisas para determinar si el reclamado incurrió
en una vulneración de la normativa de protección de datos y los documentos
obtenidos y generados por la Subdirección General de Inspección de Datos durante la
fase de investigación. Asimismo, se incorpora a procedimiento sancionador la
Diligencia de fecha 31/10/2019 del procedimiento sancionador PS/0006/2019”.
SEXTO: El artículo 64.2.f) LPACAP dispone que, en caso de no formular alegaciones
al acuerdo de inicio, éste podrá ser considerado propuesta de resolución si contiene
un pronunciamiento preciso acerca de la responsabilidad imputada.
En atención a que el reclamado no ha formulado alegaciones al acuerdo de inicio
y a que el citado acuerdo contenía un pronunciamiento muy claro respecto a la
responsabilidad atribuida al reclamado, se pasa al dictado de la resolución.
SÉPTIMO: Como consecuencia de la suspensión de plazos administrativos provocada
por la crisis sanitaria del Covid 19, el plazo de duración máxima de este procedimiento
sancionador PS /438/2019 finaliza el 27/11/2020.
El Real Decreto 463/2020, “por el que se declara el estado de alarma para la
gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el
14/03/2020, estableció en su Disposición Adicional tercera, “Suspensión de plazos ad-
ministrativos”:
“1. Se suspenden términos y se interrumpen los plazos para la tramitación de los
procedimientos de las entidades del sector público. El cómputo de los plazos se rea-
nudará en el momento en que pierda vigencia el presente real decreto o, en su caso,
las prórrogas del mismo.
2. La suspensión de términos y la interrupción de plazos se aplicará a todo el
sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento Adminis-
trativo Común de las Administraciones Públicas.”
Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020, publi-
cado en el BOE el 23/05/2020, establece en el artículo 9: “Plazos administrativos sus-
pendidos en virtud del Real Decreto 463/2020, de 14 de marzo. Con efectos desde el
1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido sus-
pendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/11
rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas”.
Por tanto, si bien el acuerdo de inicio del procedimiento sancionador se firmó el
19/11/2019 y que, conforme al artículo 64.2, último inciso, de la LOPDGDD, el plazo de
duración máxima del procedimiento es de 9 nueve meses computaos desde esa fecha,
la suspensión de plazos acordada por el Real Decreto 463/2020 afectó al procedi-
miento sancionador que examinamos y se reanudó el cómputo de los plazos con fecha
01/06/2020, a tenor del Real Decreto 463/2020. Aplicadas las normas citadas el último
día del plazo de duración máxima del procedimiento es el 27/11/2020.
En el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
1.- En el marco del E/10868/2019 se levanta diligencia de fecha 19/11/2019 que
incorpora la captura de pantalla obtenida en esa fecha desde
www.banderacatalana.cat/botiga/content/2-text-legal .
2.-La captura de pantalla obtenida el 19/11/2019 desde
www.banderacatalana.cat/botiga/content/2-text-legal ofrece esta información:
En el epígrafe “Responsable,” consta que “el nuevo responsable de la web
alojada en banderactalana.cat/botiga/ y del tratamiento de datos personales es el
señor A.A.A. con número de identificación fiscal ***NIF.1 y domicilio fiscal en
***DIRECCION.1.”
El epígrafe siguiente, “Finalidades, legitimación y conservación de los
tratamientos de los datos enviados a través de:”, nos ofrece la información
estructurada en tres sub-epígrafes denominados “Formularios de contacto”; “Envío de
correos electrónicos” y “Suscripción a nuestra newsletter”.
(Es traducción. El texto original del entrecomillado está redactado en catalán)
3.- La captura de pantalla obtenida por la Inspección de Datos el 19/11/2019 desde
www.banderacatalana.cat/botiga/content/2-text-legal , en el epígrafe denominado
“Suscripción a nuestra newsletter”, dice lo siguiente:
“Finalidad: Envío de nuestro boletín comercial, comunicaciones informativas y
publicitarias sobe nuestros productos o servicios que sean de su interés, incluso por
medios electrónicos (correo electrónico, SMS, etc).
Legitimación: El consentimiento del usuario al suscribirse a nuestros envíos
comerciales o newsletters.
Conservación: Hasta que el interesado revoque el consentimiento y solicite la
baja del servicio.
Obligación de facilitar sus datos personales y consecuencia de no hacerlo.
“El suministro de datos personales requiere una edad mínima de 13 años o, en
su caso, disponer de capacidad jurídica suficiente para contratar”.
(Es traducción. El texto original del entrecomillado está redactado en catalán. El
subrayado es de la AEPD)
4.- En el expediente sancionador PS/0006/2019 -en el que se sancionó por los mismos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/11
hechos a Grup BC, S.L., con NIF B65880916, en su condición de responsable de la
web alojada en www.banderacatalana.cat y del tratamiento de los datos personales-
se dejó constancia de estos extremos:
4.1. En el sitio http://banderacatalana.cat/botiga/content/2-text-legal, la
información que ofrecía sobre la licitud del tratamiento de los datos de los menores de
13 años que se dieran de alta en su boletín de novedades es idéntica a la que se ha
descrito en los Hechos Probados precedentes.
4.2. En fecha 31/10/2019 la página www. banderacatalana.cat informaba de que
“el nuevo responsable del web alojado en banderacatalana.cat/botiga/ y del
tratamiento de los datos personales” es el señor A.A.A. con número de identificación
fiscal ***NIF.1 y domicilio fiscal en ***DIRECCION.1.
(Es traducción. El texto original del entrecomillado está redactado en catalán. El
subrayado es de la AEPD)
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679,
del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la “protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de datos” (RGPD) reconoce a cada autoridad de control y según lo
establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia
Española de Protección de Datos es competente para resolver este procedimiento.
II
El artículo 13 del RGPD, bajo la rúbrica “Información que deberá facilitarse
cuando los datos personales se obtengan del interesado”, establece:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que éstos se obtengan, le facilitará
toda la información indicada a continuación:
a) La identidad y los datos de contacto del responsable y, en su caso,
de su representante;
b) Los datos de contacto del delegado de protección de datos, en su
caso;
c) Los fines del tratamiento a que se destinan los datos personales y la
base jurídica del tratamiento;” (El subrayado es de la AEPD)
El responsable del tratamiento está obligado a informar al interesado cuyos
datos personales se recaban de cuál es la “base jurídica del tratamiento” que va a
realizar; lo que implica informarle de la legitimación que tiene la entidad que recoge los
datos para el tratamiento específico que pretende llevar a cabo.
En tal sentido el artículo 5.1.a) del RLOPD menciona entre los principios que
rigen el tratamiento de datos personales el de “licitud”. El artículo 6 RGPD bajo la
rúbrica “Licitud del tratamiento dispone:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/11
para uno o varios fines específicos;
(...)”
Este precepto se completa con el artículo 8 del mismo texto legal que versa
sobre las “Condiciones aplicables al consentimiento del niño en relación con los
servicios de la sociedad de la información”:
“1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta
directa a niños de servicios de la sociedad de la información, el tratamiento de los
datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años.
Si el niño es menor de 16 años, tal consentimiento únicamente se considerará lícito si
el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño,
y sólo en la medida en que se dio o autorizó.
Los Estados miembros podrán establecer por ley una edad inferior a tales fines,
siempre que ésta no sea inferior a 13 años.
2. El responsable del tratamiento hará esfuerzos razonables para verificar en
tales casos que el consentimiento fue dado o autorizado por el titular de la patria
potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
3. El apartado 1 no afectará a las disposiciones generales del Derecho
contractual de los Estados miembros, como las normas relativas a la validez,
formación o efectos de los contratos en relación con un niño”. (El subrayado es de la
AEPD)
La LOPDGDD hizo uso de la habilitación que el artículo 8.1., inciso último, del
RGPD otorga a los Estados miembros de la Unión para que determinen la edad en la
que es lícito que un menor de 16 años otorgue su consentimiento al tratamiento de sus
datos en relación con la oferta directa de servicios de la sociedad de la información.
Dentro de los límites del Reglamento 2016/679 la LOPDGDD fija la edad para
consentir el tratamiento de datos en los 14 años cumplidos. El artículo 7 de la Ley
Orgánica 3/2018, bajo la rúbrica “Consentimiento de los menores de edad”, establece:
“1. El tratamiento de los datos personales de un menor de edad únicamente
podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Se exceptúan los supuestos en los que la ley exija la asistencia de los titulares
de la patria potestad para la celebración del acto o negocio jurídico en cuyo contexto
se recaba el consentimiento para el tratamiento.
2. El tratamiento de los datos de los menores de catorce años, fundado en el
consentimiento, sólo será lícito si consta el del titular de la patria potestad o tutela, con
el alcance que determinen los titulares de la patria potestad o tutela.” (El subrayado es
de la AEPD)
La incidencia del artículo 8 del RGPD en el asunto examinado deriva del hecho
de que los boletines comerciales enviados a través de medios electrónicos constituyen
un servicio de la sociedad de la información. Nos remitimos en ese sentido a la defini-
ción que la ley 34/2002, de Servicios de la Sociedad de la Información y del Comercio
Electrónico (LSSI) ofrece en su Anexo:
“A los efectos de esta Ley, se entenderá por:
a. Servicios de la sociedad de la información o servicios: todo servicio prestado
normalmente a título oneroso, a distancia o por vía electrónica y a petición individual
del destinatario. (…) Son servicios de la sociedad de la información, entre otros y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/11
siempre que representen una actividad económica, los siguientes:
1. La contratación de bienes y servicios por vía electrónica
(...)
4. El envío de comunicaciones comerciales.
(…)” (El subrayado es de la AEPD)
III
Tal y como se consta en la relación de Hechos Probados, la página
www.banderacatalana.cat., en su “texto legal” o política de privacidad informa de la
identidad del responsable del tratamiento -A.A.A., con NIF ***NIF.1 - y de sus datos de
contacto, facilitando su “domicilio fiscal”, ubicado en ***LOCALIDAD.1, dando así
cumplimiento a la obligación que impone el artículo 13.1.a) del RGPD.
El apartado c), del artículo 13.1 RGPD exige que se informe a la persona de
quien se recogen sus datos personales, en el momento en que éstos se obtengan, de
los fines del tratamiento y de la legitimidad para el tratamiento de datos que se va a
realizar. La página web de la que es responsable el reclamado ofrece esta información
a través de tres sub-epígrafes, que coinciden con las tres formas mediante las que
prevé recoger datos de terceros: los “formularios de contacto”; “el envío de correos
electrónicos” y “la suscripción a nuestra newsletter”.
La política de privacidad de la www.banderacatalana.cat informa de que la base
jurídica del tratamiento de los datos personales de terceros que se recogen cuando
estos se dan de alta en el boletín comercial, tratamiento que se concretará en el envío
de la referida newsletter, es “el consentimiento” que presta el titular de los datos
cuando decide suscribirse al boletín de novedades. Por ello, el párrafo que el texto
legal de la página web dedica a la “Suscripción a nuestra newsletter” dice que la
“Legitimación:” para el tratamiento es “El consentimiento del usuario al suscribirse a
nuestros envíos comerciales o newsletter”. Y dicho esto, la política de privacidad
añade lo siguiente: “El suministro de datos personales requiere una edad mínima de
13 años o, en su caso, disponer de capacidad jurídica suficiente para contratar” (El
subrayado es de la AEPD)
En definitiva, el reclamado informa en su página web, www.banderacatalana.cat,
que para darse de alta en la newsletter de la empresa se requiere una edad mínima de
13 años y, al tiempo, informa también de que la base jurídica del tratamiento de los
datos de quien cumplimenta el formulario de la newsletter es el consentimiento
otorgado al cumplimentar dicho boletín comercial.
Resulta evidente, a la luz de los artículos 6.1.a) y 8 del RGPD y 7 de la
LOPDGDD, que la información que ofrece el reclamado respecto al consentimiento
otorgado por los menores de edad para el tratamiento de sus datos con la finalidad de
prestarles un servicio de la sociedad de la información -como lo es el envío del boletín
comercial por vía electrónica o SMS- vulnera las disposiciones citadas. Admitir que un
menor de 13 años pueda darse de alta en su boletín de novedades y amparar el
tratamiento en la base jurídica del artículo 6.1.a) RGPD es atribuir al menor de 13 años
la capacidad para disponer de sus datos con la finalidad aludida, capacidad de la que
carece y que la ley otorga al menor de edad que ha cumplido 14 años.
Así las cosas, habida cuenta de que el sitio web del que es responsable el
reclamado facilita una información sobre la licitud del tratamiento de los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/11
personales de los menores de 13 años que incumple las normas que regulan esta
materia -artículo 6.1.a, relacionado con artículo 8 RGPD y artículo 7 LOPDGDD- el
texto legal o política de privacidad de la página web vulnera el artículo 13.1.c) RGPD.
La infracción del artículo 13.1.c) del RGPD se encuentra tipificada en el artículo
83.5.b) del RGPD, precepto que señala: “Las infracciones de las disposiciones
siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas
de 20.000.000 EUR como máximo, o tratándose de una empresa, de una cuantía
equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía:
a)(...)
b) los derechos de los interesados a tenor de los artículos 12 a 22
A efectos de prescripción, la LOPDGDD (artículo 72.1) califica de muy grave, y
fija para ella un plazo de prescripción de tres años, la “h) La omisión del deber de
informar al afectado acerca del tratamiento de sus datos personales conforme a lo
dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley
orgánica”.
IV
El artículo 58.2 RGPD establece que “Cada autoridad de control dispondrá de
todos los siguientes poderes correctivos” entre los que menciona, además de la multa
administrativa (letra i) el de “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…” (letra d)
Paralelamente, se ha de señalar que la imposición de la medida descrita en el
apartado d) del artículo 58.2. RGPD es compatible con la sanción consistente en multa
administrativa, a tenor de lo dispuesto en el art. 83.2 del RGPD conforme al cual “en
función de las circunstancias de cada caso individual”, las multas administrativas
pueden imponerse “a título adicional”, esto es, conjuntamente, con las medidas
contempladas en el artículo 58.2, letras a) a h) y j).
Parece conveniente recordar, además, que el RGPD introduce un tipo infractor
en el que la conducta típica consiste en no haber cumplido las medidas correctivas
impuestas en sus resoluciones sancionadoras por la autoridad de control, esto es, por
la AEPD. Así, el artículo 83.6 del RGPD establece que “El incumplimiento de las
resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se
sancionará de acuerdo con el apartado 2 del presente artículo con multas
administrativas de 20.000.000 de euros como máximo o, tratándose de una empresa,
de una cuantía equivalente al 4% como máximo del volumen de negocio total anual
global del ejercicio anterior, optándose por la de mayor cuantía”
A. En la determinación del importe de la multa administrativa que procede imponer al
reclamado se han de observar las previsiones de los artículos 83.1 y 83.2 del
Reglamento 2016/679.
En el presente caso, en la determinación del importe de la sanción de multa por
la infracción tipificada en el artículo 83.5.b) del RGPD atribuida al reclamado, se
aprecian, en calidad de agravantes, los siguientes factores:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/11
- El descrito en el artículo 83.2.b) RGPD, “La intencionalidad o negligencia en la
infracción”. Queda acreditado en el expediente (Diligencia de 31/10/2019) que, en esa
fecha, el reclamado tenía ya la condición de responsable de la página web
banderacatalana.cat. El 19/11/2019 -fecha de la Diligencia de constancia levantada por
la inspección de datos en el E/10868/2019- se comprueba que la información que la
página web proporciona continúa siendo errónea. Hasta esas fechas habían
transcurrido más de once meses desde la entrada en vigor de la Ley Orgánica 3/2018
(lo que acontece el 07/12/2018). Tiempo suficiente a juicio de esta Agencia para que el
responsable hubiera adaptado su política de privacidad a la normativa vigente.
La grave falta de diligencia que revela la conducta del reclamado se pone de
manifiesto también en que tuvo conocimiento necesariamente del procedimiento
sancionador promovido por esta Agencia contra el anterior responsable de esa misma
página web, por hechos idénticos. Procedimiento que finalizó sancionando al entonces
responsable -Grup B.C., S.L.- por idéntica infracción del RGPD. Sólo una obvia y muy
grave falta de diligencia del responsable -próxima al dolo- puede explicar que, pese a
su perfecto conocimiento de que la información que ofrece vulnera la ley, continúe
publicándola.
- La circunstancia descrita en el artículo 83.2. k) del RGPD, en relación con el
artículo 76.f) de la LOPDGDD, que alude a “La afectación a los derechos de los
menores”. El incumplimiento del deber de informar en los términos del artículo 13.1.c)
RGPD, tal y como consta en los Fundamentos de la resolución, repercute
directamente en el tratamiento de datos de los menores de edad -menores de 13 años
cumplidos- que no están habilitados por la ley para disponer de sus datos con la
finalidad de darse de alta en boletines de noticias a través de medios electrónicos.
Circunstancia que revela un plus de antijuridicidad y de culpabilidad del sujeto
infractor.
B. A tenor del artículo 58.2.d) RGPD se sanciona con la medida correctiva consistente
en ordenar al reclamado que suprima del sitio web la información que publica,
referente al consentimiento de los menores de 13 años de edad como base
legitimadora del tratamiento de sus datos a través de la suscripción a la newsletter,
que vulnera la normativa de protección de datos ,y que facilite una información acerca
de la base legitimadora del tratamiento de los datos personales obtenidos mediante el
alta en la newsletter por parte de los menores de edad que cumpla las disposiciones
vigentes.
El plazo máximo en el que reclamado deberá dar cumplimiento a esta orden es
de diez días hábiles, que se computarán desde la fecha en la que la presente
resolución fuera ejecutiva.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: SANCIONAR a A.A.A., con NIF ***NIF.1, por una infracción del artículo 13
RGPD -en relación con los artículos 6.1.a) y 8 RGPD y en relación, asimismo, con el
artículo 7 LOPDGDD-, tipificada en el artículo 83.5.b) RGPD, con multa administrativa
(conforme al artículo 58.2.i, RGPD) de 10.000 € (diez mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/11
SEGUNDO: SANCIONAR a A.A.A., con NIF ***NIF.1, por una infracción del artículo 13
RGPD -en relación con los artículos 6.1.a) y 8 RGPD y en relación, asimismo, con el
artículo 7 LOPDGDD-, tipificada en el artículo 83.5.b) RGPD, con la orden (conforme al
artículo 58.2.d, RGPD) de suprimir de la política de privacidad de la página
www.banderacatalana.cat la información contraria a las disposiciones del RGPD y de
la LOPDGDD objeto del presente expediente sancionador y de ofrecer una información
correcta relativa a la base legitimadora del tratamiento de los datos de los menores de
edad al darse de alta en su boletín de novedades. El plazo otorgado para cumplir esta
orden es de diez días hábiles, computados desde la fecha en la que la presente
resolución sea ejecutiva.
TERCERO: NOTIFICAR la presente resolución a A.A.A..
CUARTO: Advertir al sancionado que la multa administrativa deberá hacerla efectiva
una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en
el art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/11
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es