1/30
Expediente Nº: PS/00475/2021
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 1 de octubre de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a MYHERITAGE, LTD
(en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente Nº: PS/00475/2021
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
HECHOS
PRIMERO: La ORGANIZACION DE CONSUMIDORES Y USUARIOS (en adelante, la
parte reclamante) con fecha 1 de julio de 2020 interpuso reclamación ante la Agencia
Española de Protección de Datos. La reclamación se dirige contra MY HERITAGE,
LTD (en adelante, la parte reclamada). Los motivos en que basa la reclamación son
los siguientes.
La Organización de Consumidores y Usuarios (OCU) señala una serie de posibles
incumplimientos de la normativa de protección de datos por parte del responsable del
portal web https://www.myheritage.es/, en el que se ofrecen a residentes españoles
servicios genealógicos, incluyendo análisis y comparativas de ADN:
- Transferencias internacionales de datos personales fuera del EEE a países sin ga-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/30
rantías adecuadas, según lo estipulado en el art. 46 RGPD.
- Tratamientos de datos personales sin base de legitimación clara, y falta de informa-
ción adecuada al afectado.
-Tratamiento de datos personales de carácter genético (ADN) que no parece cumplir
ninguna de las premisas recogidas en el art. 9.2 RGPD.
- Revelación a los demás usuarios de los datos personales de terceros que se incluyen
en los árboles genealógicos.
- Revelación de datos personales de usuarios entre los que se establecen "Coinciden-
cias de ADN" o "Smart Matches" (similitudes entre su ADN).
- Cesiones a terceros con propósitos extraños (p.ej. proteger sus derechos o la propie-
dad de otros usuarios)
- Compartición dudosa de información con "socios de Genealogía"
- Deficiencias en información y consentimiento a "cookies"
- Legitimación de "investigaciones" basadas en consentimiento. Dudas sobre si lo re-
cogen realmente, en qué consiste realmente dicha investigación, y finalidades de la
misma, así como la información proporcionada a los titulares de los datos.
- Dudas sobre el tratamiento de datos con fines comerciales (oposición al envío de co-
municaciones publicitarias, y qué base de legitimación se utiliza para los envíos, acla-
rando si son propios o de terceros - en la política no queda claro).
- Deficiencias en materia de información sobre los tratamientos realizados:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/30
- En la política de privacidad no se especifica claramente que uno debe enviar su ma-
terial genético y no el de otro. Esta cuestión podría remitir a la de las medidas de segu-
ridad para acreditar que una persona te está enviando su material genético y no el de
otra persona.
- Otras deficiencias en materia de información a usuarios (art. 13 RGPD)
- No se cierran puertas a posibles cesiones o ventas bajo licencia de información de
salud o ADN de usuarios que no sean rusos, noruegos y suecos.
- Tratamiento de datos de menores entre 13 años y la edad mínima que cada país es-
tablece para aceptar el consentimiento de una personal sin necesitar el de sus padres
o tutores.
- Otras deficiencias en la redacción de la política (incoherencias, duplicidades, omisio-
nes, ambigüedades, etc.)
- Cuestiones relacionadas con el ejercicio de derechos:
- Dudas sobre la conservación de datos una vez eliminados, y del alcance de la elimi-
nación.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
No se ha recibido respuesta a este escrito, si bien no se ha tenido constancia de su re-
cepción por la parte reclamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/30
TERCERO: Con fecha 30 de noviembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte
reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de con-
trol en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protec-
ción de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título
VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los
siguientes extremos:
- Con fecha 24/05/2021 DIGITAL VALLADOLID, S.L. remite a esta Agencia la siguien-
te información y manifestaciones:
Que el titular del dominio myheritage.es es A.A.A..
- Con fecha 24/08/2021 MYHERITAGE LTD. remite a esta Agencia la siguiente infor-
mación y manifestaciones de su traducción no oficial del inglés:
(…)
- Con fecha 22/07/2020 se comprueba que en la política de privacidad de myherita-
ge.es consta:
1. En la sección “¿QUÉ INFORMACIÓN PERSONAL SE RECOGE DE USTED O
ACERCA DE USTED?”:
“2) Información sobre su familia y terceras personas: También puede introducir otra in-
formación personal acerca de usted y de otras personas durante la creación de su ár-
bol genealógico o el estudio de su familia en el Sitio Web, por ejemplo, nombres, rela-
ciones, fechas y lugares de nacimiento y defunción, información de contacto como una
dirección de correo electrónico y fotos.
Si decide invitar a un miembro de su familia u otra persona para que visualice o edite
su árbol genealógico, le pediremos la dirección de correo electrónico y el nombre de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/30
dicha persona. Antes de cursar la invitación, deberá asegurarse de que cuenta con el
consentimiento de esta persona para transmitir sus datos a MyHeritage.
En el momento de crear un árbol genealógico, usted decide qué familiares añade al
árbol, si añade familiares difuntos, vivos o ambos, y qué información facilita acerca de
ellos. Para añadir familiares vivos al árbol genealógico, deberá obtener su consenti-
miento previo. Antes de añadir familiares menores vivos al árbol genealógico, deberá
obtener el consentimiento de su progenitor o tutor.”
2. En la sección “¿PARA QUÉ UTILIZAMOS SU INFORMACIÓN PERSONAL?”
consta:
“[…]
iv) Para usos internos de la empresa: Con el fin de mejorar el Servicio y desarrollar
nuevos productos y servicios, es posible que utilicemos su información personal para
realizar análisis de datos internos, para estudiar el uso que se hace del Sitio Web,
para diagnosticar problemas y garantizar la seguridad del Servicio, para identificar ten-
dencias de uso y para determinar la efectividad de las campañas promocionales. Por
ejemplo, podemos examinar cuánto tiempo pasan los visitantes en cada página del Si-
tio Web y cómo navegan por el mismo. Únicamente utilizaremos esta información para
mejorar el Sitio Web.
Utilizamos su dirección IP para proporcionarle el Sitio Web y nuestro Servicio, así
como para diagnosticar problemas en nuestros servidores. Su dirección IP también se
utiliza para reunir información demográfica amplia, como la distribución geográfica de
nuestros miembros. Cuando visite el Servicio por primera vez, utilizaremos su direc-
ción IP para proponerle el Servicio en el idioma que consideremos más apropiado
para la región geográfica en la que tenga su origen.
[…]”
3. En la sección “¿DIVULGARÁ MYHERITAGE SU INFORMACIÓN PERSONAL
A TERCEROS?” consta:
“La información personal que usted nos facilite nunca será vendida o cedida bajo li-
cencia. Jamás venderemos o cederemos bajo licencia información de ADN o de salud
a terceros sin su consentimiento informado expreso. Jamás venderemos o cederemos
bajo licencia información de ADN o de salud que pertenezca a usuarios de Rusia, No-
ruega o Suecia bajo ninguna circunstancia (aunque otorguen un consentimiento infor-
mado expreso). […]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/30
4. En la sección “CONSERVACIÓN DE LOS DATOS” consta:
“[…]
En algunos casos, cuando usted o nosotros eliminemos su contenido, puede que per-
manezcan visibles copias de dicha información en otros lugares en la medida en que
dicha copia se haya compartido con otras personas o se haya distribuido de otra forma
con arreglo a sus ajustes de privacidad o haya sido copiada o almacenada por otros
usuarios. Por ejemplo, puede que otros usuarios hayan copiado parte de su árbol ge-
nealógico en su propio árbol genealógico.
[…]”
5. En la sección “¿CÓMO PUEDE ELIMINAR INFORMACIÓN SOBRE USTED O
SU FAMILIA O COMUNICÁRNOSLO?” consta:
“[…]
En caso de controversias o problemas con otro tipo de información personal presente
en el Sitio Web acerca de usted, póngase en contacto con nosotros en la dirección pri-
[email protected]. Si es usted un miembro registrado del Sitio Web y nos envía
una solicitud relativa a información que usted introdujo en el Sitio Web, le pediremos
que se comunique con nosotros desde la misma dirección de correo electrónico que
usó para registrarse en el Sitio Web. De no ser así, puede que necesitemos verificar
su identidad antes de considerar su solicitud.
Si necesita ayuda adicional, puede escribimos un correo electrónico a la dirección pri-
[email protected] para solicitarnos que le ayudemos a eliminar cualquier informa-
ción que desee, y nuestro personal atenderá rápidamente su solicitud a menos que,
tras examinarla, sea considerada ilegítima.
[…]”
- Con fecha 24/05/2021 se comprueba que en la política de cookies de myheritage.es
constan los apartados:
a. ¿Qué son las cookies y por qué MYHERITAGE las usa?
b. ¿Cuáles son los diferentes tipos de cookies?
c. ¿Cómo gestionar sus preferencias de cookies?
d. ¿Cómo administrar las cookies a través de la configuración de su navegador?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/30
e. ¿Cómo inhabilitar la publicidad basada en intereses?
f. ¿Se modificará esta política de cookies?
- Con fecha 22/07/2020 se comprueba que en los términos y condiciones de myherita-
ge.es consta:
1. En la sección “Servicios de ADN”:
“[…]
Además, declara que cualquier muestra de ADN que proporcione, así como cualquier
información que transfiera o suba que relacione a un individuo con sus Resultados de
ADN, se refiere o a su ADN o, únicamente con respecto a la utilización de los Servi-
cios de genealogía de ADN, al ADN de una persona de la que usted es el tutor o de la
que ha obtenido autorización legal para proporcionarnos su ADN.
[…]”
- Con fecha 30/08/2021 se comprueba que en la política de privacidad de myherita-
ge.es consta:
1. En la sección “¿DIVULGARÁ MYHERITAGE SU INFORMACIÓN PERSONAL
A TERCEROS?” consta:
“NUNCA VENDEREMOS NI CONCEDEREMOS LICENCIAS CON RESPECTO A LA
INFORMACIÓN PERSONAL PROPORCIONADA POR USTED, INCLUIDA LA INFOR-
MACIÓN GENÉTICA Y LA INFORMACIÓN DE SALUD, A TERCEROS, INCLUIDAS
LAS COMPAÑÍAS DE SEGUROS, LAS AGENCIAS GUBERNAMENTALES, OTRAS
EMPRESAS O EMPLEADORES.”
FUNDAMENTOS DE DERECHO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/30
I
Competencia
- Sobre la “Política de Privacidad”, “Tratamiento” y “Transferencias”:
Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de
la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2
del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16,
relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de
Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Au-
toridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de
los Derechos Digitales (LOPDGDD),
Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los
poderes de investigación y correctivos que la autoridad de control puede disponer al
efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del
tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de:
“imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada
caso.”
El artículo 3.2 del RGPD establece la competencia territorial, señalando lo siguiente:
2. El presente Reglamento se aplica al tratamiento de datos personales de interesados
que residan en la Unión por parte de un responsable o encargado no establecido en la
Unión, cuando las actividades de tratamiento estén relacionadas con:
a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemen-
te de si a estos se les requiere su pago, o
b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/30
- Sobre la Política de Cookies:
Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de
la Agencia Española de Protección de Datos, de conformidad con lo establecido en el
art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la
Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar
y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de
Protección de Datos.
El artículo 4 de la LSSI establece la competencia territorial para los prestadores
establecidos en un Estado no perteneciente a la Unión Europea o al Espacio
Económico Europeo, señalando lo siguiente:
“A los prestadores establecidos en países que no sean miembros de la Unión Europea
o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos
7.2 y 11.2.
Los prestadores que dirijan sus servicios específicamente al territorio español
quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello
no contravenga lo establecido en tratados o convenios internacionales que sean
aplicables.”
II
Tras la recepción de la denuncia genérica y amplísima presentada por la parte recla-
mante, se iniciaron actuaciones previas de investigación consistente en solicitar infor-
mación a la parte reclamada ubicada en Israel. A no tener datos de ningún reclamante,
la investigación realizada es genérica y no se ha podido incidir en cuestiones más con-
cretas.
Para la mejor comprensión del resultado de estas actuaciones, se incluyen en distintos
apartados los hechos denunciados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/30
Respecto a las deficiencias en la información facilitada a los usuarios cuyos datos son
objeto de tratamiento.
El artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos
personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispo-
ne:
“Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»)”
Manifestación del principio de transparencia es la obligación que incumbe a los
responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al
titular de los datos personales cuando éstos se obtengan directamente del interesado:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su re-
presentante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurí-
dica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intere-
ses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en
su caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artícu-
los 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías
adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de
que se hayan prestado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/30
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos per-
sonales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a
los datos personales relativos al interesado, y su rectificación o supresión, o la limita-
ción de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabili-
dad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el ar-
tículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el con-
sentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está obligado a fa-
cilitar los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias pre-
vistas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de da-
tos personales para un fin que no sea aquel para el que se recogieron, proporcionará
al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro
fin y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información.”
En ese sentido, el Considerando 60 del RGPD dice que “Los principios de tratamiento
leal y transparente exigen que se informe al interesado de la existencia de la opera-
ción de tratamiento y sus fines. El responsable del tratamiento debe facilitar al intere-
sado cuanta información complementaria sea necesaria para garantizar un tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/30
leal y transparente, habida cuenta de las circunstancias y del contexto específicos en
que se traten los datos personales. Se debe además informar al interesado de la exis-
tencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si
los datos personales se obtienen de los interesados, también se les debe informar de
si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran.”
La información recogida en la política de privacidad, que ha sido actualizada y amplia-
da, no responde a todas las exigencias recogidas en el artículo 13 del RGPD.
Se constata que no se informa de la posibilidad de ejercer el derecho de portabilidad y
el derecho de limitación del tratamiento. Asimismo, no se indica el derecho de los inte-
resados de presentar una reclamación ante la autoridad de control.
El formulario empleado vulnera el artículo 13 del RGPD conducta que es subsumible
en el artículo 83.5 del RGPD que dispone: “Las infracciones de las disposiciones si-
guientes se sancionarán de acuerdo con el apartado 2, con multas administrativas de
20.000.000 de Eur como máximo o, tratándose de una empresa, de una cuantía equi-
valente al 4% como máximo del volumen de negocio total anual global del ejercicio fi-
nanciero anterior, optándose por la de mayor cuantía:
(...)
b) Los derechos de los interesados a tenor de los artículos 12 a 22;”
A los meros efectos de prescripción, el artículo 74.1.a) de la LOPDGDD considera
como leve “a) El incumplimiento del principio de transparencia de la información o el
derecho de información del afectado por no facilitar toda la información exigida por los
artículos 13 y 14 del Reglamento (UE) 2016/679.”. El plazo de prescripción de las in-
fracciones leves previsto en la Ley Orgánica 3/2018 es de un año.
El artículo 58.2 del RGPD establece:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
a) (..)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/30
b) dirigir a todo responsable o encargado de tratamiento un apercibimiento cuan-
do las operaciones de tratamiento hayan infringido lo dispuesto en el presente Regla-
mento;
c)...
d) ordenar al responsable o encargado de tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(...)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar
de las medidas mencionadas en el presente apartado, según las circunstancias de
cada caso particular”.
En el presente caso, atendidas las especiales circunstancias que concurren y confor-
me el Considerando 148 del RGPD, según el cual cuando exista una infracción leve
podrá imponerse en lugar de la sanción de multa la sanción de apercibimiento, en esta
fase del procedimiento, y sin perjuicio del resultado de la instrucción, se estima que
por la infracción del artículo 13 del RGPD procede impone la sanción de apercibimien-
to; teniendo en cuenta que la política de privacidad es muy completa, si bien se han
omitido dos informaciones: la posibilidad de ejercicio del derecho de portabilidad y limi-
tación del tratamiento, y el derecho a presentar una reclamación ante la autoridad de
control.
Asimismo, en caso de que la resolución vaya en el mismo sentido que este acuerdo,
procedería imponer la medida correctiva descrita en el artículo 58.2.d) RGPD y orde-
nar a la reclamada que elabore un formulario de recogida de datos que ofrezca a los
afectados toda la información que está obligada a facilitar al amparo del artículo 13 del
RGPD.
III
Respecto al tratamiento de datos de los usuarios
El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supues-
tos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condicio-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/30
nes:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos intere-
ses no prevalezcan los intereses o los derechos y libertades fundamentales del intere-
sado que requieran la protección de datos personales, en particular cuando el intere-
sado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento reali-
zado por las autoridades públicas en el ejercicio de sus funciones.
2. (…)”
El artículo 4 del RGPD, “Definiciones”, apartado 2, ofrece un concepto legal de “trata-
miento”: “cualquier operación o conjunto de operaciones realizadas sobre datos perso-
nales o conjunto de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supre-
sión o destrucción” .
La entidad investigada legitima el tratamiento de sus datos en el consentimiento del in-
teresado, en que el tratamiento es necesario para ejecutar un contrato celebrado con
el usuario, y que el tratamiento es necesario para cumplir con una obligación legal per-
tinente.
Si bien la base jurídica del apartado c) del artículo 6.1 del RGPD se refiere a la exis-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/30
tencia de “una obligación legal”, y el Gabinete Jurídico de la AEPD indica que el senti-
do de la expresión “obligación legal” contenida en el artículo 6.1.c) del RGPD equivale,
en la regulación española de protección de datos, a obligación establecida en una ley
en sentido formal, a una norma con rango de ley. La entidad investigada puede legiti-
mar el tratamiento de los datos personales en los dos primeros apartados del artículo
6.1 del RGPD.
En relación a la posible divulgación de información personal manifiestan que como
parte de las revisiones periódicas que realizan a su política de privacidad para asegu-
rar que la información que proporcionan refleja con precisión la forma en que tratan
datos personales, han revisado esta política y han concretado los casos de comunica-
ción de datos a terceros “si nos los exige la ley o durante un proceso judicial, o para
prevenir el fraude y la ciberdelincuencia.”
En el presente caso, con arreglo a los datos que se disponen en este momento de
acuerdo de inicio de procedimiento sancionador, no se han encontrado evidencias que
acrediten un incumplimiento de lo estipulado en el artículo 6 del RGPD.
Tratamiento de datos de menores de 13 años
El artículo 7 de la LOPDGDD establece lo siguiente:
“1. El tratamiento de los datos personales de un menor de edad únicamente
podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria
potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se
recaba el consentimiento para el tratamiento.
“2. El tratamiento de los datos de los menores de catorce años, fundado en el
consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con
el alcance que determinen los titulares de la patria potestad o tutela.”
La entidad investigada señala que no se tratan datos de menores de 14 años. Para
personas mayores de 14 años de edad y hasta los 18 años sí los tratan y en todos los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/30
casos han recogido un consentimiento parental.
En el presente caso, con arreglo a las evidencias que se disponen en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que el tratamiento de
datos de la página web reclamada, no se contradice con lo estipulado en el artículo 7
de la LOPDGDD en relación con el art. 8 del RGPD.
IV
Respecto al tratamiento de categorías especiales de datos de los usuarios
Estas categorías de datos encuentran su regulación en el artículo 9 del RGPD, que de-
termina en sus dos primeros apartados lo siguiente:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen
étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afi-
liación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a iden-
tificar de manera unívoca a una persona física, datos relativos a la salud o datos relati-
vos a la vida sexual o las orientaciones sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstan-
cias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos
datos personales con uno o más de los fines especificados, excepto cuando el Dere-
cho de la Unión o de los Estados miembros establezca que la prohibición mencionada
en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejerci-
cio de derechos específicos del responsable del tratamiento o del interesado en el ám-
bito del Derecho laboral y de la seguridad y protección social, en la medida en que así
lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo
con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas
del respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física, en el supuesto de que el interesado no esté capacitado, física o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/30
jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con
las debidas garantías, por una fundación, una asociación o cualquier otro organismo
sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre
que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de ta-
les organismos o a personas que mantengan contactos regulares con ellos en relación
con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin
el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho ma-
nifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre
la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcio-
nal al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos
y establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, eva-
luación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asis-
tencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de
asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados
miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las
condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la
salud pública, como la protección frente a amenazas transfronterizas graves para la
salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia
sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de
la Unión o de los Estados miembros que establezca medidas adecuadas y específicas
para proteger los derechos y libertades del interesado, en particular el secreto profe-
sional;
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el artículo
89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros,
que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a
la protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado.”
Por otra parte, en lo referente al tratamiento de categorías especiales de datos de ciu-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/30
dadanos españoles, es aplicable el artículo 9.1 de la LOPDGDD, que indica lo siguien-
te:
“1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evi-
tar situaciones discriminatorias, el solo consentimiento del afectado no bastará para le-
vantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su
ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o
étnico.
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos
al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento
(UE) 2016/679, cuando así proceda.”
La entidad reclamada presta un servicio DNA KIT a los usuarios que quieran utilizarlo.
En el Registro de actividades de tratamiento diferencian la finalidad de realización del
árbol genealógico del servicio DNA KIT.
Sobre la finalidad, indican la entidad reclamada lo siguiente: “The main purpose is the
provision of our DNA services. This means dispatching the DNA kit to the user/reci-
pient following a purchase, to perform genetic analysis and to present the DNA results,
which include Ethnicity Estimates and optionally also DNA Matches”, es decir, que la fi-
nalidad principal es el examen genético y la obtención de resultados; opcionalmente
con los resultados pueden obtener coincidencias entre los usuarios.
Se trata de un servicio específico que tiene la finalidad principal de obtener el mapa
genético del sujeto.
Pues bien, en la política de privacidad y en la contestación a la solicitud de información
efectuada por esta Agencia, la entidad investigada indica que el tratamiento de «datos
de categoría especial» o de «datos personales sensibles» únicamente se permite
cuando existe una exención pertinente. Los datos de categoría especial incluyen
información genética, que tratan como parte de los Servicios de ADN, así como
cualquier información acerca de su origen étnico o información del Cuestionario de
Salud. En dichos casos, los datos de categoría especial o los datos personales
sensibles se levanta la prohibición de su tratamiento en virtud del consentimiento
explícito e informado del usuario. La pormenorización de los tratamientos de los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/30
del ADN y de las informaciones que se pueden compartir con terceros, consta
detallada en el apartado de Hechos.
En el presente caso, con arreglo a los datos que se disponen en este momento de
acuerdo de inicio de procedimiento sancionador, no se han encontrado evidencias que
acrediten un incumplimiento de lo estipulado en el artículo 9 del RGPD.
V
Tratamiento de datos de los usuarios con fines comerciales
En la denuncia se plantean dudas sobre el tratamiento de datos con fines comerciales
y si es posible la oposición al envío de comunicaciones publicitarias.
El envío de correos electrónicos publicitarios está regulado en el artículo 21 de la
LSSI, que establece:
“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por
correo electrónico u otro medio de comunicación electrónica equivalente que
previamente no hubieran sido solicitadas o expresamente autorizadas por los
destinatarios de las mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita
los datos de contacto del destinatario y los empleara para el envío de comunicaciones
comerciales referentes a productos o servicios de su propia empresa que sean
similares a los que inicialmente fueron objeto de contratación con el cliente. En todo
caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al
tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo
y gratuito, tanto en el momento de recogida de los datos como en cada una de las
comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido
remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la
inclusión de una dirección de correo electrónico u otra dirección electrónica válida
donde pueda ejercitarse este derecho, quedando prohibido el envío de
comunicaciones que no incluyan dicha dirección.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/30
En relación a las comunicaciones comerciales, la entidad reclamada señala que se en-
vían sobre productos o servicios que son idénticos o similares a los que los usuarios
usaron o adquirieron. Los usuarios pueden optar por no recibir más comunicaciones a
través del link de “unsubscribe” presente en la parte inferior de las comunicaciones o
modificando sus preferencias.
VI
Deficiencias en la utilización e información de cookies
Esta Agencia ha podido comprobar que, al entrar en la página inicial de la web,
(primera capa), sin realizar ninguna acción sobre la misma y sin rechazar las cookies,
la web utiliza cookies no necesarias, tanto propias como de terceros. Además, en la
página inicial el banner no informa bien; en la política de cookies no se identifican las
cookies que utilizan.
Los hechos expuestos podrían suponer por parte de la entidad reclamada la comisión
de la infracción del artículo 22.2 de la LSSI, según el cual:
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recupe-
ración de datos en equipos terminales de los destinatarios, a condición de que los mis-
mos hayan dado su consentimiento después de que se les haya facilitado información
clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de
los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre,
de protección de datos de carácter personal.
Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para
aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros
adecuados del navegador o de otras aplicaciones.
Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo
fin de efectuar la transmisión de una comunicación por una red de comunicaciones
electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/30
un servicio de la sociedad de la información expresamente solicitado por el destinata-
rio”.
Esta Infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que
considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos
cuando no se hubiera facilitado la información u obtenido el consentimiento del desti-
natario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancio-
nada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI.
Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a impo-
ner de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la
LSSI:
- La existencia de intencionalidad, expresión que ha de interpretarse como equi-
valente a grado de culpabilidad de acuerdo con la Sentencia de la Audiencia
Nacional de 12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a
la entidad denunciada la determinación de un sistema de obtención del consen-
timiento informado que se adecue al mandato de la LSSI.
- Plazo de tiempo durante el que ha venido cometiendo la infracción (apartado
b).
Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada
una sanción de 20.000 euros (veinte mil euros), por la infracción del artículo 22.2 de la
LSSI, respecto de la política de cookies realizada en la página web myheritage.es.
VII
Legitimación de "investigaciones" basadas en consentimiento
MYHERITAGE ha informado que los usuarios procedentes de España han sido exclui-
dos del proyecto de investigación que realiza con amplias finalidades.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/30
Conservación de los datos
La información facilitada por la entidad en su política de privacidad es la siguiente:
Conservaremos su información personal únicamente durante el tiempo necesario para
cumplir con los fines para los que fue recogida y con la legislación aplicable. Esto sig-
nifica que almacenaremos su información personal durante el tiempo que sea necesa-
rio para prestar nuestros servicios, salvo que tengamos un fundamento jurídico para
conservarla por un período de tiempo mayor (por ejemplo, una vez finalice su suscrip-
ción, puede que sigamos teniendo un interés legítimo por utilizar sus datos de contac-
to para ofrecerle nuestro servicio comercialmente). También conservamos la informa-
ción personal que necesitamos para realizar las tareas pendientes y para ejercer
nuestros derechos jurídicos y hacer valer nuestras reivindicaciones, así como determi-
nada información personal que debemos conservar durante un período de tiempo pre-
ceptivo (en este último caso, nuestro tratamiento de dicha información es limitado). Si
acepta usted el Acuerdo de Consentimiento Informado de ADN, podremos conservar
la información proporcionada con arreglo al mismo durante el tiempo que considere-
mos necesario para los fines de investigación recogidos en él.
En algunos casos, cuando usted o nosotros eliminemos su contenido, puede que per-
manezcan visibles copias de dicha información en otros lugares en la medida en que
dicha copia se haya compartido con otras personas o se haya distribuido de otra forma
con arreglo a sus ajustes de privacidad o haya sido copiada o almacenada por otros
usuarios. Por ejemplo, puede que otros usuarios hayan copiado parte de su árbol ge-
nealógico en su propio árbol genealógico. Puede que la información retirada y elimina-
da se conserve en copias de seguridad durante un tiempo limitado para usos internos
de nuestra empresa, pero no estará disponible para usted ni para otros usuarios.
El primer párrafo de la información cumple lo establecido en el artículo 17 del RGPD
respecto a la supresión de los datos. Si el interesado se opone a recibir publicidad no
podrán conservar ningún dato con esa finalidad. En el párrafo segundo se advierte de
la posibilidad de que, si el propio usuario ha dejado su árbol genealógico de forma pú-
blica, puede ser copiado o guardado por terceros.
Por tanto, informan de los criterios utilizados para la conservación de los datos; ha-
ciendo referencia a la posibilidad de que si el usuario ha hecho público su árbol genea-
lógico, puede ser copiado y conservado por terceros ajenos a la entidad reclamada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/30
Transferencias Internacionales de datos
El artículo 45 del RGPD establece lo siguiente:
“1. Podrá realizarse una transferencia de datos personales a un tercer país u
organización internacional cuando la Comisión haya decidido que el tercer país, un te-
rritorio o uno o varios sectores específicos de ese tercer país, o la organización inter-
nacional de que se trate garantizan un nivel de protección adecuado. Dicha transferen-
cia no requerirá ninguna autorización específica.
2. Al evaluar la adecuación del nivel de protección, la Comisión tendrá en cuen-
ta, en particular, los siguientes elementos: a) el Estado de Derecho, el respeto de los
derechos humanos y las libertades fundamentales, la legislación pertinente, tanto ge-
neral como sectorial, incluida la relativa a la seguridad pública, la defensa, la seguri-
dad nacional y la legislación penal, y el acceso de las autoridades públicas a los datos
personales, así como la aplicación de dicha legislación, las normas de protección de
datos, las normas profesionales y las medidas de seguridad, incluidas las normas so-
bre transferencias ulteriores de datos personales a otro tercer país u organización in-
ternacional observadas en ese país u organización internacional, la jurisprudencia, así
como el reconocimiento a los interesados cuyos datos personales estén siendo trans-
feridos de derechos efectivos y exigibles y de recursos administrativos y acciones judi-
ciales que sean efectivos; b) la existencia y el funcionamiento efectivo de una o varias
autoridades de control independientes en el tercer país o a las cuales esté sujeta una
organización internacional, con la responsabilidad de garantizar y hacer cumplir las
normas en materia de protección de datos, incluidos poderes de ejecución adecuados,
de asistir y asesorar a los interesados en el ejercicio de sus derechos, y de cooperar
con las autoridades de control de la Unión y de los Estados miembros, y c) los com-
promisos internacionales asumidos por el tercer país u organización internacional de
que se trate, u otras obligaciones derivadas de acuerdos o instrumentos jurídicamente
vinculantes, así como de su participación en sistemas multilaterales o regionales, en
particular en relación con la protección de los datos personales.
3. La Comisión, tras haber evaluado la adecuación del nivel de protección, po-
drá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o va-
rios sectores específicos de un tercer país, o una organización internacional garanti-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/30
zan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del pre-
sente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al
menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes
en el tercer país o en la organización internacional. El acto de ejecución especificará
su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o
autoridades de control a que se refiere el apartado 2, letra b), del presente artículo. El
acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refie-
re el artículo 93, apartado 2.
4. La Comisión supervisará de manera continuada los acontecimientos en paí-
ses terceros y organizaciones internacionales que puedan afectar a la efectiva aplica-
ción de las decisiones adoptadas con arreglo al apartado 3 del presente artículo y de
las decisiones adoptadas sobre la base del artículo 25, apartado 6, de la Directiva
95/46/CE.
5. Cuando la información disponible, en particular tras la revisión a que se re-
fiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un
sector específico de ese tercer país, o una organización internacional ya no garantiza
un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comi-
sión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida
necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presen-
te artículo. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento
de examen a que se refiere el artículo 93, apartado 2. Por razones imperiosas de ur-
gencia debidamente justificadas, la Comisión adoptará actos de ejecución inmediata-
mente aplicables de conformidad con el procedimiento a que se refiere el artículo 93,
apartado 3.
6. La Comisión entablará consultas con el tercer país u organización internacio-
nal con vistas a poner remedio a la situación que dé lugar a la decisión adoptada de
conformidad con el apartado 5.
7. Toda decisión de conformidad con el apartado 5 del presente artículo se en-
tenderá sin perjuicio de las transferencias de datos personales al tercer país, a un te-
rritorio o uno o varios sectores específicos de ese tercer país, o a la organización inter-
nacional de que se trate en virtud de los artículos 46 a 49.
8. La Comisión publicará en el Diario Oficial de la Unión Europea y en su pági-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/30
na web una lista de terceros países, territorios y sectores específicos en un tercer
país, y organizaciones internacionales respecto de los cuales haya decidido que se
garantiza, o ya no, un nivel de protección adecuado.
9. Las decisiones adoptadas por la Comisión en virtud del artículo 25, apartado
6, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, susti-
tuidas o derogadas por una decisión de la Comisión adoptada de conformidad con los
apartados 3 o 5 del presente artículo.”
El artículo 46 establece la posibilidad de transmitir datos personales a un tercer país u
organización internacional si hubiera ofrecido garantías adecuadas y a condición de
que los interesados cuenten con derechos exigibles y acciones legales efectivas. El ar-
tículo siguiente regula las normas corporativas vinculantes y el artículo 49 establece
las excepciones en las que se pueden transferir datos personales si se dan unas cir-
cunstancias específicas.
Dado que en la denuncia se plantean dudas sobre la legalidad de las transferencias,
sin concretarse riesgos exactos, al solicitar información sobre estas transferencias,
MYHERITAGE indica que tras la sentencia Schrems II están revisando las cláusulas
contractuales tipo siguiendo las recomendaciones del EDPB. De acuerdo con los datos
de los que se dispone en este momento, no se tienen evidencias que acrediten el in-
cumplimiento en lo referido a las transferencias internacionales.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Espa-
ñola de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MYHERITAGE, LTD, con
NIF 513410662, por la presunta infracción del artículo 13 del RGPD tipificada en el ar-
tículo 83.5.b) del mismo Reglamento, y dirigir un apercibimiento por esta infracción.
SEGUNDO: INICIAR PROCEDIMIENTO SANCIONADOR a MYHERITAGE, LTD, con
NIF 513410662, por la presunta infracción del artículo 22.2) de la LSSI, sancionable
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/30
conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política
de Cookies” de la página web de su titularidad, sancionando con una multa de 20.000
euros.
TERCERO: A los efectos del artículo 64.2.b) LPACAP, se podría ORDENAR a la recla-
mada de acuerdo con lo dispuesto en el artículo 58.2 d) del RGPD que, en el plazo de
diez días hábiles a contar desde la fecha en la que la resolución en que así lo acuerde
sea ejecutiva, proceda, por una parte, a adecuar el formulario de recogida de datos de
quienes solicitan sus servicios a las previsiones del artículo 13 del RGPD.
CUARTO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando
que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en
los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sec-
tor Público (LRJSP).
QUINTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclama-
ción interpuesta por la parte reclamante y su documentación, así como los documen-
tos obtenidos y generados por la Subdirección General de Inspección de Datos en las
actuaciones previas al inicio del presente procedimiento sancionador.
SEXTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octu-
bre, del Procedimiento Administrativo Común de las Administraciones Públicas, la san-
ción que pudiera corresponder sería de APERCIBIMIENTO y 20.000 € (veinte mil eu-
ros).
SÉPTIMO: NOTIFICAR el presente acuerdo a MYHERITAGE, LTD, con NIF
513410662, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el en-
cabezamiento de este documento
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/30
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al pre-
sente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la san-
ción que proceda imponer en el presente procedimiento. Con la aplicación de esta re-
ducción, la sanción quedaría establecida en 16.000 € (diez y seis mil euros), resolvién-
dose el procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supon-
drá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la san-
ción quedaría establecida en 16.000 € (diez y seis mil euros), y su pago implicará la
terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 12.000 € (doce mil euros).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía adminis-
trativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº
ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protec-
ción de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el
número de referencia del procedimiento que figura en el encabezamiento de este do-
cumento y la causa de reducción del importe a la que se acoge.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/30
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Ins-
pección para continuar con el procedimiento en concordancia con la cantidad ingresa-
da.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la fe-
cha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurri-
do ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPA-
CAP, contra el presente acto no cabe recurso administrativo alguno.
935-160721
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 2 de noviembre de 2021, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 16000 euros haciendo uso de una de las dos
reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha
quedado acreditado el reconocimiento de responsabilidad.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere el
Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/30
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos
RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00475/2021, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a MYHERITAGE, LTD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/30
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
937-160721
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es