1/6
Procedimiento Nº: PS/00491/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00491/2020, instruido por la Agencia Española de
Protección de Datos, a la entidad, HIGHCLIFFE ESTATES MARBELLA, S.L., con CIF.:
B93407872, titular de la página web: www.higcliffeestates.com , (en adelante, “la enti-
dad reclamada”), en virtud de la reclamación presentada por la entidad, BUSINESS &
LAW PARTNERS con CIF.: B87322913, (en adelante, “la entidad reclamante”), por
presunta vulneración de la normativa de protección de datos, y atendiendo a los si-
guientes:
ANTECEDENTES
PRIMERO: Con fecha 29/07/20, la entidad reclamante remitió a esta Agencia escrito
de reclamación, indicando, entre otras:
“Se ha tenido conocimiento de que la página web www.higcliffeestates.com no cumple
la normativa en materia de tratamiento de datos personales reflejada en la LOPDGDD
y el RGPD. El sitio web carece de Aviso Legal, Política de Privacidad y casilla de
aceptación de esta política en el formulario de contacto donde se recogen datos de
carácter personal. Se desconoce, por tanto, el tratamiento que se dará a los datos
recogidos”.
Además, dentro de la página web, (…) el siguiente enlace: ***URL.1, según se ha
constatado. se llega a un aviso en el que se utiliza y muestra la imagen de uno de los
socios del despacho BUSINESS & LAW, sin su consentimiento”.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la SG de Inspección de Datos procedió a realizar
actuaciones para su esclarecimiento, al amparo de los poderes de investigación
otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679
(RGPD). Así, con fecha 06/10/22, se dirige requerimiento informativo a la entidad
reclamada.
Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento envia-
do a la entidad reclamada, el día 06/10/20, a través del servicio de SICER, fue devuel-
to a origen con el mensaje de “desconocido” el día 28/10/20.
TERCERO: Con fecha 17/12/20 por parte de la Directora de la Agencia Española de
Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia presenta-
da por el reclamante, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de
5 de diciembre, de Protección de Datos Personales y garantía de los derechos digita-
les (LPDGDD), al considerar que la respuesta dada por la reclamada a esta Agencia
en relación a los hechos reclamados no acredita su sometimiento a la legislación vi-
gente.
CUARTO: por parte de esta Agencia, se realizan comprobaciones sobre la Política de
Privacidad, Aviso Legal y de la Política de Cookies de la página web denunciada,
www.higcliffeestates.com, comprobándose las siguientes características al respecto:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
- Sobre el tratamiento de datos personales en la página web:
En la página inicial, a través del enlace <<contacto>>, situado en la parte inferior de la
misma, se redirige a un formulario, http://www.highcliffeestates.com/es/contacto, donde
se recogen datos personales de los usuarios, como el nombre, teléfono y email.
En la misma página donde se encuentra el formulario
http://www.highcliffeestates.com/es/contacto, existe la siguiente información sobre el
responsable del tratamiento de los datos personales: - e-mail: info@highcliffeesta -
tes.com, - Teléfono +34 661 869 811.
- Sobre la “Política de Privacidad” de la página web:
A través del link <<Política de Privacidad>>, existente en la parte inferior de la página
de contacto indicada anteriormente, así como en la parte inferior de la página principal,
la web redirige a una nueva página, http://www.highcliffeestates.com/es/politica-priva-
cidad, que proporciona, la identificación del responsable del tratamiento de los datos
personales, sobre la Propiedad intelectual e industrial, el responsabilidad de los conte-
nidos; la Reproducción de contenidos; sobre legitimación del tratamiento de datos per-
sonales y el ejercicios de los derechos de los usuarios; y sobre la ley aplicable
- Sobre la “Política de Cookies” de la página web:
En la página inicial de la web indicada (primera capa), no se despliega ningún banner
que informe de la utilización de cookies, no obstante, se comprueba que solamente se
utiliza una cookie de sesión, con finalidad técnica, tal y como indica la entidad en su
“política de privacidad”.
- Sobre el tratamiento no consentido de los datos personales:
Dentro de la página web (…) y siguiendo el enlace: ***URL.1, (…) se puede apreciar la
fotografía de una persona y un “Aviso a Agencias Locales”, alertando de las presuntas
actuaciones de dos personas pertenecientes a la entidad reclamante.
CUARTO: A la vista de los hechos denunciados y de las evidencias observadas en la
página web, la Directora de la Agencia Española de Protección de Datos, con fecha
12/02/21, acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud
de los poderes establecidos, por incumplir lo estipulado en los artículos 13 con una
sanción de apercibimiento y por infracción del artículo 6.1 del RGPD con sanción de
8.000 euros.
QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, no se ha recibió ningún
tipo de alegaciones a la incoación de expediente, en el tiempo concedido al efecto.
HECHOS PROBADOS
1.- Según se manifiesta en la reclamación, la página web www.higcliffeestates.com no
cumple la normativa en materia de tratamiento de datos personales. Además, dentro
de la página web, se utiliza imágenes personales sin el consentimiento expreso para
ello ni otra causa que legitime el tratamiento de los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
2.- Según ha podido constatar esta Agencia, en la página web en cuestión, se pueden
recoger datos personales de los usuarios, no obstante, su política de privacidad sigue
haciendo referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Pro-
tección de Datos de Carácter Personal (LOPD).
3.- Sobre el tratamiento no consentido de los datos personales, se ha podido compro-
bar que en la página web, a través de ***URL.1 (…) se puede apreciar la fotografía de
una persona y un “Aviso a Agencias Locales”, alertando de las presuntas actuaciones
irregulares de dos personas pertenecientes a la entidad reclamante.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en
el art. 47 de LOPDGDD.
II
El artículo 64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPA-
CAP, dispone que:
“El acuerdo de iniciación deberá contener al menos: (…)
f) Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y
de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste po-
drá ser considerado propuesta de resolución cuando contenga un pronunciamiento
preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la
AEPD).
En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de
inicio se advertía de lo dispuesto en el artículo 64.2.f) de la LPACAP, se concretaba
la presunta infracción cometida junto con su correspondiente tipificación, se determi-
naba el importe de la sanción con arreglo a los criterios de graduación tenidos en
cuenta en función de las evidencias obtenidas a esa fecha, informándose también de
las reducciones previstas sobre el importe fijado en virtud de lo dispuesto en el artí-
culo 85 de la LPACAP.
En consideración a lo expuesto y de conformidad con lo establecido en el artículo
64.2.f) de la LPACAP, el acuerdo de inicio del presente expediente es considerado Pro-
puesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la
responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente
de hecho cuarto, el reclamado no ha formulado alegaciones al mismo en el plazo con-
cedido a tales efectos.
III
La valoración conjunta de la prueba documental obrante en el procedimiento trae a
conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado
reflejada en los hechos declarados probados arriba relatados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
Sobre la “Política de Privacidad” de la página web, se ha constatado que la misma
hace referencia a la derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protec-
ción de Datos de Carácter Personal (LOPD).
Según el artículo 99 del RGPD, la entrada en vigor y aplicación del nuevo RGPD fue,
“a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)”
y sería aplicable a partir del 25 de mayo de 2018”. Por tanto, a partir del 25/05/18,
quedó derogado la LO. 15/1999, (LOPD), aplicándose obligatoriamente, desde esa
fecha, el vigente RGPD y a partir del 07/12/18 la nueva LOPDGDD.
Los hechos conocidos podrían ser constitutivos de una infracción, imputable al
reclamado, por vulneración del artículo 13 del RGPD, que establece la información que
se debe proporcionar al interesado en el momento de recogida de sus datos
personales.
Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación: b)
sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando
las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento; (…); i) imponer una multa administrativa con arreglo al artículo 83,
además o en lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular”, por lo que, la sanción sería de
“apercibimiento”.
IV
Sobre el tratamiento no consentido de los datos personales, se ha comprobado que
existe una publicación de una fotografía del interesado y sus datos personales, según
reclamación, sin su consentimiento expreso del interesado.
Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por
vulneración del art. 6.1 del RGPD, al publicar datos personales del reclamante sin la
legitimación necesaria para ello.
Por su parte, el artículo 72.1.b) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “El incumplimiento de los requisitos exigidos por el artículo 6 del RGPD”.
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer en el presente caso, procede graduar la sanción a imponer de acuerdo con
los siguientes criterios agravantes que establece el artículo 83.2 del RGPD:
- La intencionalidad o negligencia en la infracción. En el presente caso estamos
ante acción negligente intencionada, (apartado b).
- La forma en que la autoridad de control tuvo conocimiento de la infracción. La
forma en que esta AEPD ha tenido conocimiento ha sido por la interposición de
la denuncia por parte de la reclamante, (apartado h).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 6.1, permite
fijar una sanción de 8.000 euros, (ocho mil euros).
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos
RESUELVE:
PRIMERO: IMPONER a la entidad HIGHCLIFFE ESTATES MARBELLA, S.L., con
CIF.: B93407872, titular de la página web: www.higcliffeestates.com, una sanción de
“apercibimiento”, por la infracción del artículo 13) del RGPD, y una sanción de 8.000
euros (ocho mil euros), por la infracción del artículo 6.1) del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a la entidad HIGHCLIFFE ESTATES
MARBELLA, S.L., y al reclamante sobre el resultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Ad-
ministraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artícu-
lo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005,
de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, me-
diante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta
a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK,
S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciem-
bre, de medidas fiscales, administrativas y del orden social, la presente Resolución se
hará pública, una vez haya sido notificada a los interesados. La publicación se realiza-
rá conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interpo-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
ner, potestativamente, recurso de reposición ante la Directora de la Agencia Española
de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la noti-
ficación de esta resolución, o, directamente recurso contencioso administrativo ante la
Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dis-
puesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley
29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el pla-
zo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es