El pasado 12 de mayo de 2021 la Agencia de Protección de Datos Holandesa (“DPA Holandesa”) publicó su decisión de imponer una multa de 525.000 euros a la empresa Locatefamily.com por tratar datos personales de ciudadanos holandeses sin tener un representante en la Unión Europea (“UE”) como exige el RGPD.

Locatefamily.com también deberá pagar 20.000 euros por cada dos semanas que transcurran sin haber nombrado a un representante, hasta un máximo de 120.000 euros.

En la investigación realizada por la DPA Holandesa conjuntamente con otras agencias de protección de datos europeas (la “Investigación”), se descubrió que la página web de Locatefamily.com esta alojada en Canadá. Sin embargo, en la fecha actual todavía no se ha podido confirmar si la empresa que gestiona dicha página web está localizada en dicho país.

Hechos

Locatefamily.com ofrece una plataforma para ayudar a personas a encontrar a conocidos que han perdido de vista. Dicha página web ofrece de forma gratuita los datos personales de cientos de miles de personas entre los que se incluyen nombre y apellidos, país de residencia, dirección y a veces su número de teléfono. Las personas cuyos datos personales se encuentra en dicha página web desconocen cómo se han recabado sus datos.

Según el comunicado de la DPA Holandesa, Locatefamily.com contiene entre otros, los datos personales de aproximadamente 700.000 ciudadanos holandeses.

Cualquier usuario que entre en la página Locatefamily.com puede acceder a todos los datos personales contenidos en esta sin ser necesario siquiera registrarse.

Según la Investigación, Locatefamily.com ofreció sus servicios en Holanda así como en otros ocho países de la UE. La Investigación también determinó que Locatefamily.com carecía de un representante en la UE.

Desde la entrada en vigor del RGPD hasta el inicio de la Investigación, la DPA Holandesa ha recibido 19 reclamaciones contra Locatefamily.com. Otras agencias de protección de datos europeas también han recibido reclamaciones contra la misma página web.

Infracción

La DPA Holandesa estima que Locatefamily.com infringió el artículo 27 del RGPD en relación con el artículo 3.2 del RGPD por no nombrar a un representante en la UE pese a que la página web ofreció sus servicios en al menos 9 países de la UE.

Conclusión

La presente sanción de la DPA Holandesa resulta interesante por ilustrar el alcance extraterritorial del RGPD recogido en su artículo 3.2: “El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o […]”.

La sanción sirve como advertencia a las empresas sitas fuera de la UE que ofrecen bienes o servicios a ciudadanos de la UE, de que el RGPD es de aplicación y su incumplimiento será sancionado.

El caso también plantea nuevas preguntas en relación con las empresas británicas que tras el Brexit, continúan ofreciendo bienes o servicios a interesados en la UE. ¿Tienen todas ellas un representante en la UE? y de no ser este el caso, ¿nos encontramos ante una nueva tendencia sancionadora de las agencias de protección de datos europeas?

Desde el RGPD Blog seguiremos atentos.

Si deseas estar informado de las sanciones más relevantes por infracción del RGPD, tanto en España como en el resto de Europa, por favor no dudes en suscribirte a nuestro blog.