La AEPD sanciona con 2.000 € a un empresario individual

La Agencia Española de Protección de Datos sanciona con 2.000 € a un empresario individual por incumplir el deber de informar del artículo 13 del RGPD.

La Agencia Española de Protección de Datos ha sancionado con 2.000 euros a un empresario individual por una infracción del art. 13 RGPD, ya que no se informó ni en el contrato, ni tras solicitarlo el reclamante, cómo iba a ser el tratamiento de los datos personales facilitados en virtud del servicio contratado.

Primeramente, la Agencia Española de Protección de Datos, “dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.”

El traslado, no fue recogido por el responsable, entendiéndose rechazado conforme a lo previsto en el art. 43.2 de la LPACAP, en dos ocasiones.

El día 1 de julio de 2022 se admitió a trámite la reclamación presentada por la reclamante, en la cual se expone que la reclamada ha tratado sus datos sin facilitarle la información establecida en el art. 13 del RGPD; habiéndole efectuado un requerimiento para que dicha información fuera remitida, la cual no ha tenido respuesta; y con fecha 6 de septiembre de 2022, se acordó el inicio del procedimiento sancionador por parte de la AEPD a la parte reclamada, por la presunta infracción del art. 13 del RGPD, tipificada en el artículo 83.5 b) del RGPD.

De las actuaciones de la AEPD, quedó probado que la parte reclamante y la parte reclamada suscribieron un contrato según el cual la parte reclamante contrataba los servicios de un detective privado, que se corresponde con la persona de la parte reclamada.

Asimismo, en el contrato firmado entre las partes, figura la dirección de la página web en la que se ofertan los servicios de la reclamada, y en la que aparece un formulario de contacto en el que se solicitan datos personales, y no se especifica la política de privacidad aplicable.

La AEPD indica que, a tenor del art. 5.1.a) del RGPD, la transparencia es uno de los principios en materia de protección de datos que se manifiesta con el derecho que otorga el Reglamento a los titulares de los datos a recibir información y la obligación que tienen los responsables de facilitársela. Esta información se detalla en los arts. 12, 13 y 14.

Concretamente, el art. 13 del RGPD establece:

“1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las con-secuencias previstas de dicho tratamiento para el interesado. ”

La AEPD determina que, en el caso que nos ocupa, la parte reclamante no fue informada del modo en el que serían tratados sus datos personales. Por otra parte, se comprueba que en la página web de la reclamada “hay al menos un formulario de recogida de datos personales sin que figure información alguna relativa a la política de privacidad aplicable”.

Por todo lo mencionado anteriormente, la AEPD, en la resolución del procedimiento sancionador PS-00357-2022 se considera la existencia de una infracción del art. 83.5 RGPD, en relación con el 72.1. h) LOPDGDD, por “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica”. Se acordó imponer una multa de 2.000 € a este empresario individual por dicha infracción cometida.

De igual modo, la AEPD determinó que “en el plazo de 30 días desde la recepción de la presente resolución, la parte reclamada deberá proceder a completar la política de privacidad en los contratos que se suscriban con clientes, así como en las páginas web en las que se recojan datos personales”.

En definitiva, aquellos empresarios individuales y empresas que no cumplan con el deber de información tal y como se dispone en el art. 13 del RGPD, deben saber que es altamente probable que la AEPD les sancione, si bien, pueden evitarlo contratando los servicios de técnicos y especialistas jurídicos en la materia, como Unive Abogados, con amplia experiencia en adaptación de empresas privadas a la normativa de protección de datos.